CVE-2017-7921 — Hikvision IP 카메라 / DVR / NVR

부적절한 인증 — 조작된 쿼리 매개변수를 통한 권한 상승

---

1. 개요

CVE-2017-7921은 광범위한 Hikvision 네트워크 카메라, DVR 및 NVR의 펌웨어 웹 서버 구성 요소에 영향을 미치는 심각한 부적절한 인증 취약점입니다. 이 결함으로 인해 원격의 인증되지 않은 공격자가 특정 HTTP 요청 경로에 특별히 조작된 정적 쿼리 매개변수를 추가하여 장치의 로그인 메커니즘을 완전히 우회할 수 있습니다. 인증 검사가 세션이나 자격 증명 집합을 검증하는 대신 이 매개변수를 신뢰하기 때문에 이 매개변수를 포함한 모든 요청은 권한이 있는 내부 프로세스에서 발송된 것으로 취급됩니다.

성공적인 익스플로잇은 장치 웹 인터페이스에 대한 완전한 관리자 액세스 권한을 부여하며, 여기에는 실시간 및 녹화된 비디오 스트림, 장치 구성, 사용자 계정 데이터 및 많은 펌웨어 브랜치에서 약하게 암호화된 저장 자격 증명을 포함한 전체 장치 구성 파일을 다운로드할 수 있는 기능이 포함됩니다. 이 취약점은 사용자 상호 작용, 사전 인증 또는 비표준 네트워크 위치가 필요하지 않으며, Hikvision의 설치 기반 규모와 결합하여 공개 이후 지속적으로 봇넷 모집(예: Reaper/IoTroop 계열 활동) 및 감시 피드 수집의 표적이 되었습니다.

2. 영향을 받는 제품

이 취약점은 2017년 보안 패치 이전의 펌웨어 브랜치를 실행하는 여러 Hikvision 제품군에서 확인되었습니다. 대표적인 영향을 받는 제품 라인은 다음과 같습니다:

• DS-2CD2xx2F-I 시리즈 — 펌웨어 V5.2.0 (빌드 140721) ~ V5.4.0 (빌드 160530)
• DS-2CD2xx0F-I 시리즈 — 펌웨어 V5.2.0 (빌드 140721) ~ V5.4.0 (빌드 160401)
• DS-2CD2xx2FWD 시리즈 — 펌웨어 V5.3.1 (빌드 150410) ~ V5.4.4 (빌드 161125)
• DS-2CD4x2xFWD 시리즈 — 펌웨어 V5.2.0 (빌드 140721) ~ V5.4.0 (빌드 160414)
• DS-2CD4xx5 시리즈 — 펌웨어 V5.2.0 (빌드 140721) ~ V5.4.0 (빌드 160421)
• DS-2DFx PTZ 시리즈 — 펌웨어 V5.2.0 (빌드 140805) ~ V5.4.5 (빌드 160928)
• DS-2CD63xx 시리즈 및 동일한 웹 서버 코드베이스를 공유하는 일부 NVR/DVR 제품 라인

Hikvision은 또한 이 CVE와 관련된 지속적인 문제점을 지적했습니다: 공식 유통 채널 외부에서 판매되는 대량의 "그레이마켓" 장치가 수정된 비공식 Hikvision 펌웨어를 실행합니다. 표준 펌웨어 업데이트는 이러한 장치를 안정적으로 해결하지 못하며, 경우에 따라 인터페이스를 패치하는 대신 되돌리기도 합니다.

3. 기술 분석

3.1 근본 원인

표준 Hikvision 장치 인증은 웹 관리 인터페이스를 보호하는 HTTP Basic/Digest 인증을 기반으로 합니다. 그러나 취약한 펌웨어에서는 내부 요청 처리 엔드포인트의 하위 집합에 내부/디버그 용도로 설계된 보조적이고 문서화되지 않은 인증 경로가 포함되어 있습니다. 이 경로는 자격 증명 조회를 수행하지 않습니다. 대신 요청에 고정된 하드코딩된 토큰이 있는지 검사하고, 발견되면 해당 요청을 사전 인증된 것으로 처리하여 일반적인 역할 기반 액세스 제어(RBAC) 검사를 완전히 우회합니다.

이 토큰은 펌웨어 자체에 내장된 정적 기본 자격 증명 쌍의 Base64 인코딩 표현입니다. 이는 파생된 세션 값이 아닌 상수이기 때문에 해당 장치에 실제로 구성된 관리자 비밀번호와 관계없이 모든 취약한 장치에서 동일합니다. 관리자 비밀번호를 변경해도 취약점이 완화되지 않습니다.

3.2 익스플로잇 경로

높은 수준에서 익스플로잇은 다음 순서를 따릅니다:

1. 공격자는 접근 가능한 Hikvision 장치를 식별합니다(일반적으로 노출된 웹 관리 포트의 Shodan/Censys 핑거프린팅을 통해).
2. 알려진 취약한 엔드포인트에 정적 인증 토큰을 사용자 이름/비밀번호 대신 쿼리 매개변수로 추가하여 조작된 HTTP GET 요청을 보냅니다.
3. 취약한 펌웨어의 요청 핸들러는 세션 또는 자격 증명 대신 토큰을 검증하고 관리자 권한으로 요청을 처리합니다.
4. 공격자는 이제 장치 구성을 열거 및 수정하고, 실시간/녹화 스트림을 볼 수 있으며, 영향을 받는 빌드에서는 추가 계정 자격 증명을 약한 정적 키 암호화로 저장하는 전체 구성 내보내기를 검색할 수 있습니다. 이 암호화는 오프라인에서 역전될 수 있습니다.

메모리 손상, 버퍼 오버플로 또는 클라이언트 측 상호 작용이 포함되지 않습니다. 전체 공격은 단일 조작된 상태 비저장 HTTP 요청이므로 스크립팅 및 스캐너에 쉽게 적용될 수 있습니다.

3.3 지속되는 이유

세 가지 요인으로 인해 이 CVE의 실제 노출 기간이 비정상적으로 길어졌습니다:

• 장치는 특히 주거용 및 소규모 비즈니스 설치에서 한 번 배포된 후 펌웨어 업데이트를 위해 다시 방문하지 않는 경우가 많습니다.
• 비공식 펌웨어를 실행하는 그레이마켓 장치는 공식 채널을 통해 전혀 패치할 수 없는 경우가 많습니다.
• 이 취약점은 인덱싱에 유리합니다. 익스플로잇이 단일 인증되지 않은 HTTP 요청이기 때문에 대량 스캐닝 도구는 전체 IPv4 공간에서 취약한 호스트를 저렴하게 열거할 수 있으며, 이것이 정확히 IoT 봇넷 모집에 활용되는 방식입니다.

4. 영향

5. 탐지 및 지표

• 표준 Basic/Digest 인증을 완료하지 않은 세션에서 시작된 장치 관리 엔드포인트에 대한 인증되지 않은 HTTP GET 요청으로, Base64 인코딩된 자격 증명 문자열과 유사한 비사용자 쿼리 매개변수가 추가된 경우.
• 장치 구성/백업 파일 검색과 같은 구성 내보내기 요청이 표준 Basic/Digest 인증을 완료하지 않은 세션에서 시작된 경우.
• 카메라/NVR 장치에서 봇넷 체크인 트래픽과 일치하는 예상치 못한 아웃바운드 연결 (장치가 대량 익스플로잇된 후 일반적인 2차 지표).
• 공급업체 및 타사 탐지 콘텐츠: Check Point IPS 시그니처 CPAI-2017-0876, Tenable.ot 플러그인 tenable_ot_hikvision_CVE-2017-7921.nasl, CISA/ICS-CERT 권고 ICSA-17-124-01.

6. 완화 조치

• 특정 제품/모델에 대해 이 권고를 해결하는 Hikvision 펌웨어 버전으로 업데이트하십시오. 타사 미러가 아닌 Hikvision의 공식 펌웨어 포털에서 확인하십시오.
• 장치 웹 관리 인터페이스를 인터넷에 직접 노출하지 마십시오. 카메라/NVR을 VPN(예: WireGuard) 뒤에 배치하거나 인바운드 WAN 포트 포워딩이 없는 격리된 VLAN에 배치하십시오.
• 라우터/장치에서 UPnP를 비활성화하여 카메라가 방금 닫힌 포트를 자동으로 다시 열지 못하게 하십시오.
• 패치 후 모든 장치 자격 증명을 교체하십시오. 이전에 익스플로잇된 장치의 구성 파일이 유출되어 오프라인에서 해독되었을 수 있습니다.
• 공식 채널을 통해 패치할 수 없는 그레이마켓 또는 비공식 펌웨어 장치의 경우 펌웨어 업데이트에 의존하지 말고 장치를 격리 또는 폐기하십시오.
• 즉각적인 패치가 불가능한 네트워크에서는 5절의 탐지 지표를 보완 통제로 모니터링하십시오.

7. 개념 증명 (PoC)

CVE-2017-7921에 대한 작동하는 PoC는 Jared Brits (K3ysTr0K3R)가 작성했으며 github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT에서 유지 관리됩니다. 책임 있는 공개 관행에 따라 이 분석 보고서는 익스플로잇 소스 코드, 라이브 대상 출력, 또는 캡처된 자격 증명/영상을 포함하지 않습니다.

[ 귀하가 소유했거나 명시적으로 테스트할 권한이 있는 장치(예: 프록시체인, 타사 대상 또는 실제 배포의 라이브 영상이 없는 격리된 홈랩 VM/카메라)에 대한 PoC 스크린샷을 위해 예약된 공간입니다. ]

8. 참고 문헌

• CISA / ICS-CERT 권고 ICSA-17-124-01 — Hikvision IP 카메라 부적절한 인증.
• NVD — CVE-2017-7921 상세 정보, nvd.nist.gov.
• Check Point Research 권고 CPAI-2017-0876 — Hikvision IP 카메라 인증 우회.
• Tenable.ot 플러그인 — tenable_ot_hikvision_CVE-2017-7921.nasl.
• Jared Brits (K3ysTr0K3R), CVE-2017-7921-EXPLOIT — 개념 증명 및 책임 있는 공개 노트, GitHub.

9. 크레딧

• 익스플로잇 / PoC: Jared Brits (K3ysTr0K3R) — github.com/K3ysTr0K3R/CVE-2017-7921-EXPLOIT
• 분석 보고서: MK-ULTRA — github.com/MK-ULTRA-project-monarch
• IG: @projectmonarch_mk_ultra

---

협업 연구 문서화를 위해 작성되었습니다. 이 분석 보고서는 방어 및 교육적 참고를 위해 취약점 메커니즘, 영향, 탐지 및 완화 조치를 다룹니다. 즉시 실행 가능한 익스플로잇 코드나 권한 없는 대상의 증거는 포함하지 않습니다.