康威视（Hikvision）已披露其 HikCentral 产品套件多个版本中存在的三个重大安全漏洞。这些漏洞可能导致攻击者执行恶意命令，并获取未授权的管理员访问权限。 这三个漏洞的 CVE 编号分别为 CVE-2025-39245、CVE-2025-39246 和 CVE-2025-39247，由安全研究员优素福・阿尔法希德（Yousef Alfuhaid）、纳德・阿尔哈比（Nader Alharbi）、爱德华多・比多（Eduardo Bido）以及马蒂亚斯・卢特博士（Dr. Matthias Lutter）报告至海康威视安全响应中心（HSRC）。
核心要点
访问控制漏洞
最严重的漏洞（CVE-2025-39247）影响 HikCentral Professional 的 V2.3.1 至 V2.6.2 版本，其 CVSS v3.1 基础评分为 8.6（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N），属于高危级别。 该访问控制缺陷允许未经验证的远程攻击者获取管理员权限，且无需用户交互或预先掌握身份验证凭据。 从技术层面看，漏洞的根本原因在于 HikCentral Professional 的 Web 服务 API 端点中访问控制机制不完善。部分管理功能未对用户身份验证令牌进行妥善验证，使得攻击者可通过构造特制 HTTP 请求调用特权操作。CSV 注入漏洞
第一个漏洞（CVE-2025-39245）是 HikCentral Master Lite 的 V2.2.1 至 V2.3.2 版本中存在的 CSV 注入攻击向量。 该漏洞的 CVSS 评分为 4.7（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L），属于中危级别。攻击者可通过构造恶意 CSV 数据文件注入可执行命令。 当毫无防备的用户导入这些恶意 CSV 文件时，文件中嵌入的命令会在应用程序上下文中执行，可能影响系统可用性与数据处理完整性。服务路径漏洞
HikCentral FocSign 的 V1.4.0 至 V2.2.0 版本中存在未加引号的服务路径漏洞（CVE-2025-39246），其 CVSS 评分为 5.3（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N），属于中危级别。 这是一个 Windows 系统特有的漏洞：当服务可执行文件的路径包含空格，但服务配置中未对路径添加正确引号时，漏洞即会存在。 拥有本地系统访问权限的已验证攻击者，可通过在文件系统的关键位置放置恶意可执行文件来利用该漏洞。当存在漏洞的服务启动时，由于路径解析存在歧义，Windows 系统可能会执行攻击者的恶意程序，而非合法的服务二进制文件。| CVE 编号 | 漏洞名称 | CVSS 3.1 评分 | 严重程度 |
|---|---|---|---|
| CVE-2025-39245 | HikCentral Master Lite 中的 CSV 注入漏洞 | 4.7 | 中危（Medium） |
| CVE-2025-39246 | HikCentral FocSign 中的未加引号服务路径漏洞 | 5.3 | 中危（Medium） |
| CVE-2025-39247 | HikCentral Professional 中的访问控制绕过漏洞 | 8.6 | 高危（High） |
需进行补丁更新
海康威视已发布安全补丁，修复了上述三个漏洞。其中： 由于 CVE-2025-39247 漏洞严重程度高，且可被远程攻击者在无需身份验证的情况下利用，企业应优先为该漏洞安装补丁。 该漏洞的网络攻击向量及已变更的范围分类表明，漏洞若被成功利用，影响范围可能超出最初被入侵的目标，波及更多系统。安全团队应实施全面的网络分段，以限制潜在的攻击扩散。关键术语补充说明
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论