由于漏洞，Hikvision 摄像机可能会遭到远程黑客攻击

一个关键的漏洞，跟踪为 CVE-2021-36260，影响超过 70 个 Hikvision 摄像机和 NVR 型号，并允许攻击者接管设备。

该漏洞是 Hikvision IP 相机/NVR 固件中的一个未经验证的远程代码执行 （RCE） 漏洞，这是由一位安全研究人员发现的，该漏洞的在线名称是"监视 IP"。

"即使使用最新的固件（截至 2021 年 6 月 21 日），Hikvision 摄像机的大多数近期相机产品系列也容易受到关键的远程未真实代码执行漏洞的影响。专家写道。"

这允许攻击者使用不受限制的根壳获得设备的完全控制，这比设备所有者的访问范围要多得多，因为它们仅限于有限的"受保护外壳"（psh），该外壳可将输入过滤到预先定义的有限（主要是信息命令）集。

在破坏 IP 摄像机后，攻击者还可以使用被黑客攻击的设备访问内部网络，从而对使用这些设备的基础设施构成风险。

研究人员指出，对问题的利用不需要用户交互，攻击者只需要访问 http 服务器端口（通常为 80/443）。

"鉴于这些摄像机在敏感地点的部署可能甚至关键基础设施都处于危险之中，"帖子继续说道，"不需要用户名或密码，也不需要相机所有者启动任何操作。"相机本身的任何登录都无法检测到它。

专家指出，自 2016 年以来开发的每一个固件都经过测试，发现易受攻击。

漏洞影响 Hikvision 摄像机和 NVR，受影响的产品列表已在供应商发布的安全公告中公布。

"某些 Hikvision 产品的 Web 服务器中的命令注入漏洞。由于输入验证不足，攻击者可以通过发送一些带有恶意命令的消息来利用该漏洞发起命令注入攻击。

据 Hikvision 称，该漏洞是由于输入验证不足造成的，可以通过向易受攻击的设备发送专门制作的消息来加以利用。

该公司表示，攻击者只有在能够访问设备网络或设备与 Internet 有直接接口的情况下才能利用该缺陷。

该漏洞在 6 月报告给供应商，该公司于 9 月 19 日发布固件更新。