CVE-2017-7921
Hikvision Multiple Products Improper Authentication Vulnerability
Beschreibung
CVE-2017-7921 ist eine KRITISCHE Schwachstelle (CVSS 9.8) vom Typ Improper Authentication (CWE-287) in mehreren Hikvision IP-Kamera- und Netzwerkvideorekorder-Produktlinien, darunter die Serien DS-2CD2xx2F-I, DS-2CD2xx0F-I, DS-2CD2xx2FWD, DS-2CD4x2xFWD, DS-2CD4xx5, DS-2DFx und DS-2CD63xx. Die Schwachstelle ermoglicht es einem Angreifer, Authentifizierungsmechanismen zu umgehen und Privilegien zu eskalieren, wodurch Zugriff auf sensible Gerateinformationen einschliesslich Konfigurationsdaten erlangt wird. Mit einem CVSS-3.1-Vektor von AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ist die Schwachstelle aus der Ferne ohne Authentifizierung oder Benutzerinteraktion ausnutzbar. Betroffen sind verschiedene Firmware-Versionen von V5.2.0 bis V5.4.x. CISA hat CVE-2017-7921 am 5. Marz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Marz 2026. Der EPSS-Score von 0,943 (94,3. Perzentil) spiegelt eine extrem hohe Ausnutzungswahrscheinlichkeit wider.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| hikvision | ds-2cd2032-i firmware | - |
| hikvision | ds-2cd2112-i firmware | - |
| hikvision | ds-2cd2132-i firmware | - |
| hikvision | ds-2cd2212-i5 firmware | - |
| hikvision | ds-2cd2232-i5 firmware | - |
| hikvision | ds-2cd2312-i firmware | - |
| hikvision | ds-2cd2332-i firmware | - |
| hikvision | ds-2cd2412f-i\(w\) firmware | - |
| hikvision | ds-2cd2432f-i\(w\) firmware | - |
| hikvision | ds-2cd2512f-i\(s\) firmware | - |
| hikvision | ds-2cd2532f-i\(s\) firmware | - |
| hikvision | ds-2cd2612f-i\(s\) firmware | - |
| hikvision | ds-2cd2632f-i\(s\) firmware | - |
| hikvision | ds-2cd2712f-i\(s\) firmware | - |
| hikvision | ds-2cd2732f-i\(s\) firmware | - |
| hikvision | ds-2cd2t32-i3 firmware | - |
| hikvision | ds-2cd2t32-i5 firmware | - |
| hikvision | ds-2cd2t32-i8 firmware | - |
| hikvision | ds-2cd4012f-\(a\) firmware | - |
| hikvision | ds-2cd4012f-\(p\) firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.hikvision.com/us/about_10805.html(Patch, Vendor Advisory)
- http://www.securityfocus.com/bid/98313(Broken Link, Third Party Advisory, VDB Entry)
- https://ghostbin.com/paste/q2vq2(Broken Link)
- https://ics-cert.us-cert.gov/advisories/ICSA-17-124-01(Third Party Advisory, US Government Resource)
- https://www.hikvision.com/cn/support/CybersecurityCenter/SecurityNotices/20170314/(Third Party Advisory)
- https://www.hikvision.com/en/support/cybersecurity/security-advisory/security-notification--privilege-escalating-vulnerability-in-cer/(Third Party Advisory)
- https://www.hikvision.com/us-en/support/document-center/special-notices/privilege-escalating-vulnerability-in-certain-hikvision-ip-cameras/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-7921(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
Improper Authentication (CWE-287) ist eine Schwachstellenklasse, bei der ein System die Identitat eines Benutzers, Prozesses oder einer Entitat nicht ordnungsgemaess verifiziert. Diese Schwache tritt auf, wenn Authentifizierungsmechanismen umgangen werden konnen, logische Fehler enthalten oder vollstandig fehlen. Angreifer, die eine fehlerhafte Authentifizierung ausnutzen, konnen unbefugten Zugriff auf Systeme, Daten oder administrative Funktionen erlangen, ohne gultige Anmeldedaten vorzulegen.
Bei CVE-2017-7921 enthalt die betroffene Hikvision-Kamera-Firmware einen Fehler in der Authentifizierungsbehandlung, der es einem Angreifer ermoglicht, speziell gestaltete Anfragen an die Web-Oberflache oder API des Gerats zu senden, die den normalen Anmeldedaten-Verifizierungsprozess umgehen. Durch Ausnutzung dieser Schwachstelle kann ein nicht authentifizierter Remote-Angreifer Privilegien auf Administratorebene eskalieren und die volle Kontrolle uber das Gerat erlangen. Dies umfasst die Moglichkeit, Live-Kamera-Feeds einzusehen, die Geratekonfiguration zu andern, gespeicherte Anmeldedaten zu extrahieren und das kompromittierte Gerat als Ausgangspunkt fur weitere Netzwerkintrusion zu verwenden.
Auswirkungsanalyse
CVE-2017-7921 hat einen CVSS-3.1-Basiswert von 9,8 (KRITISCH), was schwerwiegende Auswirkungen auf alle drei Sicherheitsdimensionen widerspiegelt.
Vertraulichkeit (Hoch): Ein Angreifer, der diese Schwachstelle ausnutzt, erhalt unbefugten Zugriff auf alle auf dem betroffenen Gerat gespeicherten und ubertragenen Daten. Dazu gehoren Live-Video-Feeds, aufgezeichnetes Filmmaterial, Geratekonfigurationsdateien, gespeicherte Benutzeranmeldedaten und Netzwerkkonfigurationsdetails. Bei Uberwachungssystemen in sensiblen Umgebungen wie Regierungseinrichtungen, Finanzinstituten oder kritischer Infrastruktur stellt bereits die Offenlegung von Video-Feeds eine schwerwiegende Vertraulichkeitsverletzung dar.
Integritat (Hoch): Mit dem durch die Authentifizierungsumgehung erlangten administrativen Zugriff kann ein Angreifer die Geratekonfiguration andern, Aufnahmeplane manipulieren, Bewegungserkennung deaktivieren, Netzwerkeinstellungen andern und Firmware aktualisieren. Die Moglichkeit, Uberwachungskamera-Einstellungen zu manipulieren, untirgrabt die Integritat des gesamten physischen Sicherheitssystems.
Verfugbarkeit (Hoch): Ein Angreifer mit eskalierten Privilegien kann die Kamera vollstandig deaktivieren, Werksruckstellungen auslosen oder die Konfiguration so andern, dass das Gerat unbrauchbar wird. Bei Einsatzen, in denen Hikvision-Kameras Teil der kritischen Sicherheitsuberwachungsinfrastruktur sind, kann der Verfugbarkeitsverlust kaskadierende Auswirkungen auf die physische Sicherheitslage haben.
Scope (Unverandert): Obwohl die direkte Auswirkung auf das verwundbare Hikvision-Gerat beschrankt ist, dienen kompromittierte Kameras haufig als Einstiegspunkte fur laterale Bewegung innerhalb von Netzwerken. Der EPSS-Score von 0,943 platziert diese Schwachstelle in der obersten Stufe der Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2017-7921 wird nachweislich aktiv ausgenutzt. CISA hat die Schwachstelle am 5. Marz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 26. Marz 2026. Die Schwachstelle wird seit ihrer Veroffentlichung 2017 breit von Botnets und fortgeschrittenen Bedrohungsakteuren angegriffen, insbesondere aufgrund der grossen Anzahl internetexponierter Hikvision-Gerate.
Ransomware-Zusammenhang: Kompromittierte Hikvision-Kameras wurden als initiale Zugangsvektoren in Kampagnen beobachtet, die letztendlich Ransomware in verbundenen Unternehmensnetzwerken einsetzen. Die Authentifizierungsumgehung gibt Angreifern einen Bruckenkopf im Netzwerk, der fur laterale Bewegung und Privilegien-Eskalation genutzt werden kann.
Offentliche Exploits: Mehrere offentliche Proof-of-Concept-Exploits und Ausnutzungswerkzeuge sind fur CVE-2017-7921 verfugbar. Exploit-Code wurde in populare Penetrationstest-Frameworks und IoT-Scanning-Tools integriert. Die Einfachheit der Ausnutzung (eine einzelne gestaltete HTTP-Anfrage) hat diese Schwachstelle zu einem haufigen Ziel automatisierter Scanning-Kampagnen gemacht.
EPSS-Kontext: Der EPSS-Score von 0,943 (94,3. Perzentil) platziert diese Schwachstelle unter den am wahrscheinlichsten ausgenutzten aller bekannten CVEs.
KEV-Frist: Die CISA-Behebungsfrist ist der 26. Marz 2026. Organisationen, die betroffene Hikvision-Produkte betreiben, mussen sofort Firmware-Updates einspielen oder kompensierende Kontrollen implementieren.
Behebung
-
Neueste Hikvision-Firmware installieren. Hikvision hat gepatchte Firmware-Versionen veroffentlicht, die die Authentifizierungsumgehung beheben. Aktualisieren Sie alle betroffenen Kameramodelle (DS-2CD2xx2F-I, DS-2CD2xx0F-I, DS-2CD2xx2FWD, DS-2CD4x2xFWD, DS-2CD4xx5, DS-2DFx, DS-2CD63xx Serien) uber das Hikvision-Support-Portal auf die neueste verfugbare Firmware.
-
Kameras in ein dediziertes Netzwerksegment isolieren. Platzieren Sie alle IP-Kameras und Videouberwachungsgerate in einem separaten VLAN mit strengen Firewall-Regeln, die die Kommunikation auf das Video-Management-System (VMS) und autorisierte Verwaltungsarbeitsplatze beschranken. Blockieren Sie jeglichen direkten Internetzugang aus Kamera-Netzwerksegmenten.
-
Gerate von direkter Internetexposition entfernen. Prufen Sie alle Netzwerkkonfigurationen, um sicherzustellen, dass keine betroffenen Hikvision-Gerate direkt aus dem Internet erreichbar sind. Verwenden Sie VPN-Verbindungen fur den Fernzugriff auf Uberwachungssysteme anstelle von Port-Forwarding oder DMZ-Platzierung.
-
Alle Standard-Anmeldedaten andern. Stellen Sie auch nach dem Patching sicher, dass alle Geratekennworter von den Werkseinstellungen auf starke, einzigartige Anmeldedaten geandert wurden.
-
HTTPS aktivieren und unnotige Dienste deaktivieren. Konfigurieren Sie Kameras fur die Verwendung von HTTPS fur alle Web-Oberflachen- und API-Kommunikation. Deaktivieren Sie ONVIF, Telnet, SSH und andere nicht benotige Dienste.
-
Netzwerkuberwachung fur kompromittierte Gerate implementieren. Setzen Sie Netzwerkuberwachung ein, um anomalen Datenverkehr aus Kamera-Netzwerksegmenten zu erkennen. Gerate, die vor dem Patching exponiert waren, sollten als potenziell kompromittiert behandelt und forensisch untersucht werden.
Technische Details
CVE-2017-7921 ist eine Schwachstelle vom Typ Improper Authentication in der Webserver-Komponente mehrerer Hikvision IP-Kamera- und NVR-Produktlinien. Die betroffenen Firmware-Versionen (V5.2.0 bis V5.4.x Builds) enthalten einen Fehler in der Anfrageverarbeitungslogik, der es speziell gestalteten HTTP-Anfragen ermoglicht, den Authentifizierungsprozess vollstandig zu umgehen.
Die Schwachstelle besteht, weil bestimmte API-Endpunkte des eingebetteten Webservers keine ordnungsgemasse Authentifizierungsprufung erzwingen, bevor Anfragen verarbeitet werden. Ein Angreifer kann eine manipulierte Anfrage an diese Endpunkte senden, die der Server so verarbeitet, als kame sie von einem authentifizierten administrativen Benutzer. Dies gewahrt dem Angreifer Zugriff auf privilegierte Operationen einschliesslich Konfigurationsabruf, Anmeldedaten-Extraktion, Firmware-Verwaltung und Live-Videostream-Zugriff.
Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Ausnutzung vollstandig netzwerkbasiert ist, keine Authentifizierung oder Benutzerinteraktion erfordert und eine geringe Angriffskomplexitat aufweist. Der Angriff kann mit einer einzigen HTTP-Anfrage durchgefuhrt werden, was ihn trivial automatisierbar macht. Die hohe Auswirkung auf Vertraulichkeit, Integritat und Verfugbarkeit ergibt sich aus dem vollstandigen administrativen Zugriff, den die Authentifizierungsumgehung ermoglicht.
Die betroffenen Produktlinien umfassen Hikvisions Palette von IP-Kameras fur den Enterprise- und kommerziellen Einsatz. Die Breite der betroffenen Modelle und Firmware-Versionen bedeutet, dass eine grosse installierte Basis von Geraten verwundbar ist.
Häufig gestellte Fragen
Was ist CVE-2017-7921?
CVE-2017-7921 ist eine kritische Schwachstelle vom Typ Improper Authentication in mehreren Hikvision IP-Kamera-Produktlinien. Der Fehler ermoglicht es einem nicht authentifizierten Remote-Angreifer, die Authentifizierung zu umgehen und administrativen Zugriff auf das Gerat zu erlangen, einschliesslich der Moglichkeit, Live-Video-Feeds einzusehen, Anmeldedaten zu extrahieren und die Geratekonfiguration zu andern. Betroffen sind Firmware-Versionen V5.2.0 bis V5.4.x der Serien DS-2CD und DS-2DF.
Welche Hikvision-Produkte sind betroffen?
Die Schwachstelle betrifft die Serien DS-2CD2xx2F-I, DS-2CD2xx0F-I, DS-2CD2xx2FWD, DS-2CD4x2xFWD, DS-2CD4xx5, DS-2DFx und DS-2CD63xx mit Firmware-Versionen V5.2.0 bis V5.4.x Builds. Prufen Sie die Sicherheitshinweise von Hikvision fur die vollstandige Liste betroffener Modellnummern und Firmware-Versionen.
Wie behebe ich CVE-2017-7921?
Aktualisieren Sie die Firmware aller betroffenen Hikvision-Kameras auf die neueste Version uber das Hikvision-Support-Portal. Isolieren Sie Kameras zusatzlich in einem dedizierten Netzwerksegment, entfernen Sie jegliche direkte Internetexposition, andern Sie alle Standardkennworter und aktivieren Sie HTTPS auf allen Geraten. Gerate, die vor dem Patching internetexponiert waren, sollten als potenziell kompromittiert behandelt werden.
Warum ist CVE-2017-7921 so gefahrlich?
Drei Faktoren machen diese Schwachstelle aussergewohnlich gefahrlich: die triviale Ausnutzbarkeit (eine einzige gestaltete HTTP-Anfrage), die massive Anzahl weltweit eingesetzter Hikvision-Kameras und die haufige Internetexposition dieser Gerate. Der EPSS-Score von 0,943 (94,3. Perzentil) und die Aufnahme in den CISA KEV-Katalog bestatigen eine aktive, weitverbreitete Ausnutzung. Kompromittierte Kameras konnen als Netzwerk-Einstiegspunkte fur umfangreichere Angriffe einschliesslich Ransomware-Einsatz dienen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.