CVE-2017-7921 — Hikvision IP カメラ / DVR / NVR

不適切な認証 — 細工されたクエリパラメータによる権限昇格

---

1. 概要

CVE-2017-7921 は、Hikvision のネットワークカメラ、DVR、NVR の幅広い製品群におけるファームウェアの Web サーバーコンポーネントに影響を及ぼす、重大な不適切な認証の脆弱性です。この欠陥により、リモートの未認証攻撃者が、特定の HTTP リクエストパスに特別に細工された静的定義のクエリパラメータを追加するだけで、デバイスのログイン機構を完全に回避できます。認証チェックはセッションや認証情報のセットを検証するのではなく、このパラメータを信頼するため、それを含むリクエストはすべて特権を持つ内部プロセスから発信されたものとして扱われます。

悪用に成功すると、ライブ映像や録画映像、デバイス設定、ユーザーアカウントデータへの完全な管理アクセスが得られ、多くのファームウェアブランチでは、弱い暗号化で保管された認証情報を内部に含む完全なデバイス設定ファイルをダウンロードすることも可能になります。この脆弱性は、ユーザーの操作、事前の認証、非標準的なネットワーク上の位置を一切必要としません。そのため、Hikvision の膨大な導入台数と相まって、開示以降、ボットネットへの勧誘 (例: Reaper/IoTroop ファミリーによる活動) や監視映像フィードの収集の持続的な標的となっています。

2. 影響を受ける製品

この脆弱性は、2017 年のセキュリティパッチより前のファームウェアブランチを実行する複数の Hikvision 製品ファミリーで確認されています。代表的な影響を受けるシリーズは以下のとおりです。

• DS-2CD2xx2F-I シリーズ — ファームウェア V5.2.0 (ビルド 140721) から V5.4.0 (ビルド 160530) まで
• DS-2CD2xx0F-I シリーズ — ファームウェア V5.2.0 (ビルド 140721) から V5.4.0 (ビルド 160401) まで
• DS-2CD2xx2FWD シリーズ — ファームウェア V5.3.1 (ビルド 150410) から V5.4.4 (ビルド 161125) まで
• DS-2CD4x2xFWD シリーズ — ファームウェア V5.2.0 (ビルド 140721) から V5.4.0 (ビルド 160414) まで
• DS-2CD4xx5 シリーズ — ファームウェア V5.2.0 (ビルド 140721) から V5.4.0 (ビルド 160421) まで
• DS-2DFx PTZ シリーズ — ファームウェア V5.2.0 (ビルド 140805) から V5.4.5 (ビルド 160928) まで
• DS-2CD63xx シリーズ、および同じ Web サーバーコードベースを共有する一部の NVR/DVR 製品ライン

Hikvision はまた、この CVE に特有の継続的な問題にも言及しています。正規の販売チャネル以外で販売された「グレーマーケット」デバイスの大部分が、改変された非 Hikvision 製ファームウェアを実行しています。標準的なファームウェアアップデートではこれらの機器を確実に修復できず、場合によってはパッチが適用されるどころかインターフェースが元の状態に戻されてしまいます。

3. 技術分析

3.1 根本原因

標準的な Hikvision デバイスの認証は、Web 管理インターフェースを保護する HTTP Basic/Digest 認証に基づいています。しかし、影響を受けるファームウェアでは、内部リクエスト処理エンドポイントの一部に、内部/デバッグ用途を意図した二次的な非公開の認証パスが含まれています。このパスは認証情報の照合を行いません。リクエストに固定のハードコードされたトークンが存在するかどうかを検査し、存在する場合はそのリクエストを事前認証済みとして扱い、通常のロールベースアクセス制御 (RBAC) チェックを完全にバイパスします。

このトークンは、ファームウェア自体に埋め込まれた静的なデフォルト認証情報ペアを Base64 エンコードしたものです。これは派生したセッション値ではなく定数であるため、その機器に実際に設定されている管理者パスワードに関係なく、すべての影響を受けるデバイス間で同一です。管理者パスワードを変更しても、この脆弱性は緩和されません。

3.2 悪用経路

大まかに言えば、悪用は次の流れで行われます。

1. 攻撃者は、到達可能な Hikvision デバイスを特定します (通常は、露出した Web 管理ポートを Shodan/Censys でフィンガープリンティングします)。
2. ユーザー名/パスワードを提示する代わりに、静的認証トークンをクエリパラメータとして追加した、細工された HTTP GET リクエストが既知の脆弱なエンドポイントに送信されます。
3. 影響を受けるファームウェアのリクエストハンドラは、セッションや認証情報の代わりにトークンを検証し、管理者権限でリクエストを処理します。
4. 攻撃者はデバイス設定の列挙と変更、ライブ/録画ストリームの閲覧が可能になり、影響を受けるビルドでは、オフラインで解読できる弱い静的キー暗号化で保存された追加のアカウント認証情報を含む完全な設定エクスポートを取得できます。

メモリ破壊、バッファオーバーフロー、クライアント側の操作は一切関与しません。攻撃全体は単一の細工されたステートレスな HTTP リクエストであり、それがこの攻撃を簡単にスクリプト化でき、スキャナに適したものにしている理由です。

3.3 なぜ長期間残存するのか

この CVE が実世界で異常に長く影響を及ぼし続けている理由は、次の 3 つの要因によるものです。

• デバイスは一度設置されると、特に住宅や小規模事業者の環境では、ファームウェアアップデートのために再訪されることはほとんどありません。
• 不正なファームウェアを実行するグレーマーケット製品は、公式チャネルを通じてパッチを適用できないことがよくあります。
• この脆弱性はインデックス化に適しています。悪用が単一の未認証 HTTP リクエストであるため、大規模スキャンツールは IPv4 空間全体の脆弱なホストを低コストで列挙でき、まさにそのようにして IoT ボットネットへの勧誘に利用されてきました。

4. 影響

5. 検出と指標

• デバイス管理エンドポイントへの、Base64 エンコードされた認証情報文字列に似たユーザー由来でないクエリパラメータが追加された未認証 HTTP GET リクエスト。
• 標準の Basic/Digest 認証を完了したことのないセッションからの設定エクスポート要求 (例: デバイス設定/バックアップファイルの取得)。
• カメラ/NVR デバイスからの、ボットネットのチェックイントラフィックと一致する予期しないアウトバウンド接続 (デバイスが大量に悪用された後の一般的な二次的指標)。
• ベンダーおよびサードパーティの検出コンテンツ: Check Point IPS シグネチャ CPAI-2017-0876、Tenable.ot プラグイン tenable_ot_hikvision_CVE-2017-7921.nasl、CISA/ICS-CERT アドバイザリ ICSA-17-124-01。

6. 修復

• 対象の製品/モデルについて、このアドバイザリを修正する Hikvision ファームウェアバージョンに更新してください。サードパーティのミラーではなく、Hikvision の公式ファームウェアポータルで確認してください。
• デバイスの Web 管理インターフェースをインターネットに直接公開しないでください。カメラ/NVR は VPN (例: WireGuard) の背後、またはインバウンド WAN ポートフォワーディングのない隔離された VLAN に配置してください。
• ルーター/デバイスで UPnP を無効にし、カメラが閉じたばかりのポートを静かに再オープンできないようにしてください。
• パッチ適用後はすべてのデバイス認証情報を変更してください。以前に悪用された機器では、設定ファイルが外部に持ち出され、オフラインで復号されている可能性があります。
• 公式チャネルではパッチを適用できないグレーマーケット製品や不正ファームウェア搭載機器については、ファームウェアアップデートに頼らず、デバイスを隔離するか廃止してください。
• 即時のパッチ適用が困難なネットワークでは、セクション 5 の検出指標を補完的コントロールとして監視してください。

7. 概念実証 (PoC)

CVE-2017-7921 の実動する PoC は Jared Brits (K3ysTr0K3R) によって作成され、github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT で保守されています。責任ある開示の慣行に沿って、この解説文書にはエクスプロイトのソースコード、実ターゲットからの出力、取得した認証情報や映像は含まれていません。

[ 所有しているデバイス、またはテストすることを明示的に許可されたデバイスに対する PoC スクリーンショット用に予約済み — 例: proxychains を使用せず、サードパーティのターゲットや実運用環境からのライブ映像も使用しない、隔離されたホームラボの VM/カメラ。 ]

8. 参考情報

• CISA / ICS-CERT アドバイザリ ICSA-17-124-01 — Hikvision IP カメラの不適切な認証。
• NVD — CVE-2017-7921 詳細、nvd.nist.gov。
• Check Point Research アドバイザリ CPAI-2017-0876 — Hikvision IP カメラの認証バイパス。
• Tenable.ot プラグイン — tenable_ot_hikvision_CVE-2017-7921.nasl。
• Jared Brits (K3ysTr0K3R)、CVE-2017-7921-EXPLOIT — 概念実証および責任ある開示に関するノート、GitHub。

9. クレジット

• エクスプロイト / PoC: Jared Brits (K3ysTr0K3R) — github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT
• 執筆: MK-ULTRA — github.com/MK-ULTRA-project-monarch
• IG: @projectmonarch_mk_ultra

---

共同研究用ドキュメントとして作成されました。本文書は、防御および教育目的の参考として、脆弱性の仕組み、影響、検出、修復を網羅しています。すぐに実行可能なエクスプロイトコードや、許可なく取得した対象からの証拠は含まれていません。