Trusted Design

解説:

CVE-2021-36260に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2021-36260は、多数のHikvision製監視製品（IPカメラ、PTZカメラ、サーマルカメラ、ネットワークビデオレコーダー（NVR）など）のWebサーバーコンポーネントに存在するコマンドインジェクションの脆弱性です。この脆弱性は、デバイスのWebインターフェースにおける入力検証の不備に起因しており、リモートの攻撃者が悪意のあるコマンドを含む特別に細工されたHTTPメッセージを送信することで悪用される可能性があります。

1.1 影響

本脆弱性が悪用されると、認証なしのリモート攻撃者が影響を受けるデバイス上でroot権限を持つ任意のコマンドを実行できます。これにより、デバイスの完全な乗っ取り、監視フィードの傍受、内部ネットワークへの侵入や攻撃、ボットネットへの組み込みなどが可能になります。攻撃者は、システムレベルのコマンドをroot権限で実行し、デバイスを完全に制御することができます。デバイスの所有者が制限付きの保護されたシェルしか使用できない場合でも同様です。

1.2 深刻度

CVSSv3スコアは9.8（緊急）であり、CVSSv2スコアは9.3（危険）と評価されています。これは、機密性、完全性、可用性のすべてに高い影響があることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、Hikvision製監視製品の組み込みWebサーバーに影響を与えます。影響を受ける特定のファームウェアバージョンは多岐にわたります。例えば、ファームウェアバージョン4.30.210から4.31.000まで、およびHikvision Web Server Build 210702を搭載したモデルが影響を受けます。 Hikvision DS-2CDシリーズIPカメラ（DS-2CD2026G2, DS-2CD2046G2, DS-2CD2066G2, DS-2CD2086G2など多数）、Hikvision PTZカメラ（PTZ-N2204I-DE3, PTZ-N4215-DE3など）、Hikvision DS-7xxxシリーズネットワークビデオレコーダー（DS-7604NI, DS-7608NI, DS-7616NIなど）、Hikvisionサーマルカメラ、Hikvision防爆カメラなどが含まれます。 影響を受ける製品およびバージョンに関する詳細なリストは、Hikvisionの公式アドバイザリを参照することが推奨されます。

2.2 影響を受ける設定

脆弱性は、デバイスのWebインターフェースにおける不適切な入力検証に存在します。攻撃を悪用するためには、影響を受ける製品にネットワーク経由で接続できる必要があります。特に、対象製品がインターネット経由で接続可能な状態である場合、容易に脆弱性が悪用される可能性があります。

3. 影響を受けた時の兆候

検索結果には、具体的な「影響を受けた時の兆候」に関する詳細な記述は明確にありません。しかし、本脆弱性は実際に悪用されており、CISAの「既知の悪用されている脆弱性（KEV）カタログ」にも追加されています。攻撃が成功すると、攻撃者はデバイス上で任意のコマンドをroot権限で実行できるため、以下のような兆候が考えられますが、これらは直接的な情報源からのものではなく、脆弱性の性質から推測されるものです。

• 不審なネットワーク通信やデータ転送
• デバイスの予期せぬ再起動や不安定な動作
• 監視フィードの停止または改ざん
• 設定の意図しない変更
• デバイスがMiraiベースのボットネット（Moobotなど）に組み込まれる可能性

4. 推奨対策

4.1 本対策

Hikvisionは本脆弱性を修正するファームウェアを公開しています。最も重要な対策は、対象のHikvision製品のファームウェアを最新バージョンに更新することです。 CISAは、Hikvisionのセキュリティアドバイザリ「HSRC-202109-01」を確認し、最新のファームウェアアップデートを適用するよう推奨しています。

4.2 暫定回避策（緩和策）

明示的な暫定回避策は検索結果に詳細に記載されていませんが、一般的に以下の対策が考えられます。

• ネットワークの監視: 不審な活動や不正なアクセスがないかネットワークを監視します。
• ネットワークセグメンテーション: 監視デバイスを他の重要なネットワークセグメントから分離し、インターネットへの直接的な公開を避けます。これにより、攻撃者がデバイスを足がかりに内部ネットワークへ侵入するリスクを低減できます。
• 不必要なネットワークアクセスの制限: 監視デバイスへのアクセスを、信頼できるIPアドレスまたはネットワークに限定します。
• Web管理インターフェースの無効化またはアクセス制限: 可能な場合、Web管理インターフェースを無効にするか、VPN経由など、厳格な認証と認可を伴うアクセスのみを許可します。

参照したサイト

• CVE-2021-36260: Hikvision Camera Firmware RCE Vulnerability - SentinelOne
• Exploiting a Critical RCE Vulnerability in Hikvision Devices (CVE-2021-36260)
• CVE-2021-36260 - CVE Record
• CVE-2021-36260 Report - Details, Severity, & Advisories | Twingate
• Rapid7 Analysis: CVE-2021-36260
• Hikvision製ネットワークカメラの脆弱性（CVE-2021-36260）について - JPCERT/CC
• 日本も標的に Hikvisionカメラを悪用したサイバー攻撃に要注意 - ITmedia
• hikvision-unauthenticated-rce-cve-2021-36260 — 海康威视RCE脆弱性 バッチ検出および悪用ツール | Kitploit
• RCE Vulnerability in Hikvision Cameras (CVE-2021-36260) | CISA
• Miraiベースのボットネット：MoobotがHikvisionの脆弱性を標的に - Fortinet
• CVE-2021-36260 - GitHub Advisory Database
• COMMAND INJECTION VULNERABILITY IN SOME HIKVISION PRODUCTS - Hikvision Security Advisory (PDF)
• CVE-2021-36260 | Catalpa's Site
• NVD-CVE-2021-36260 - NIST
• JVNDB-2021-013637 - JVN iPedia - 脆弱性対策情報データベース
• GitHub - Aiminsun/CVE-2021-36260
• 海康威视产品命令注入漏洞（CVE-2021-36260） - 绿盟科技技术ブログ
• 海康摄像头CVE-2021-36260漏洞复现 - CSDNブログ
• 9.8分严重漏洞可能影响数百万海康威视摄像机 - 安全内参
• CyberNewsFlash - JPCERT
• セキュリティ対策の各種サービス｜サイバー攻撃・情報漏えい保険『サイバープロテククター』
• 2021年12月のセキュリティアップデート解説：「Log4Shell」など156件 - Trend Micro
• 攻撃者にスキを与えない！全方位の対策をシンプルに実現していくためには？ - Rapid7