CVE-2018-14933
NUUO NVRmini Devices OS Command Injection Vulnerability
Beschreibung
CVE-2018-14933 ist eine kritische Remote-Command-Execution-Schwachstelle in NUUO NVRmini-Netzwerkvideorecordern. Ueber das PHP-Skript upgrade_handle.php kann ein nicht authentifizierter Angreifer Shell-Metazeichen in den uploaddir-Parameter einschleusen und beliebige Betriebssystembefehle auf dem Geraet ausfuehren.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet. Die CISA hat CVE-2018-14933 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 8. Januar 2025. Der EPSS-Score von 93.87 % (99.9. Perzentil) platziert diese Schwachstelle unter den am intensivsten ausgenutzten Schwachstellen ueberhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| nuuo | nvrmini firmware | 2016 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.exploit-db.com/exploits/45070/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/46340/(Exploit, Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14933(US Government Resource)
Schwachstellentyp
Fuer CVE-2018-14933 wurde kein spezifischer CWE-Typ offiziell zugewiesen. Die Schwachstelle basiert auf einer OS Command Injection, die typischerweise unter CWE-78 (Improper Neutralization of Special Elements used in an OS Command) faellt. Bei dieser Schwachstellenklasse wird der uploaddir-Parameter des writeuploaddir-Befehls in upgrade_handle.php nicht auf Shell-Metazeichen geprueft, wodurch eingeschleuste Befehle direkt auf dem Betriebssystem ausgefuehrt werden.
Auswirkungsanalyse
Die Auswirkungen von CVE-2018-14933 sind aufgrund der fehlenden Authentifizierung und der kritischen Natur des betroffenen Geraets besonders schwerwiegend. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff trivial und ohne jegliche Voraussetzungen durchfuehrbar ist. Vertraulichkeit (Hoch): Ein erfolgreicher Angriff ermoeglicht den Zugriff auf saemtliche gespeicherten Videodaten, Kamerakonfigurationen, Netzwerkinformationen und Benutzerzugangsdaten des Videorecorders. Integritaet (Hoch): Der Angreifer kann beliebige Befehle auf dem Geraet ausfuehren, Dateien modifizieren, Backdoors installieren und das System als Sprungbrett fuer weitere Angriffe im Netzwerk nutzen. Verfuegbarkeit (Hoch): Das gesamte Videoueberwachungssystem kann deaktiviert, manipuliert oder zerstoert werden. Der ausserordentlich hohe EPSS-Score von 93.87 % (99.9. Perzentil) bestaetigt die extreme Bedrohungslage. Mehrere oeffentlich verfuegbare Exploits auf Exploit-DB (45070) und Exploit-DB (46340) erhoehen das Risiko massiv. Der Ransomware-Status ist als Unknown klassifiziert.
Exploit-Reifegrad
CVE-2018-14933 weist eine extrem hohe Exploit-Reife auf. Mehrere oeffentlich verfuegbare Exploits sind auf Exploit-DB dokumentiert, darunter Exploit 45070 und Exploit 46340, die die automatisierte Ausnutzung der Schwachstelle ermoeglichen. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 93.87 % (99.9. Perzentil) platziert diese Schwachstelle unter den Top 0.1 % der am intensivsten ausgenutzten Schwachstellen weltweit. Die fehlende Authentifizierungsanforderung und die niedrige Angriffskomplexitaet machen die Ausnutzung trivial fuer jeden Angreifer mit Netzwerkzugang. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
NVRmini-Firmware aktualisieren: Pruefen Sie, ob eine aktualisierte Firmware-Version verfuegbar ist, die die Schwachstelle in upgrade_handle.php behebt. Da die betroffene Firmware-Version von 2016 stammt, ist moeglicherweise kein Patch verfuegbar; in diesem Fall sollte das Geraet umgehend ersetzt werden.
-
Geraet sofort vom Netzwerk isolieren: Angesichts der kritischen Schwere und der trivialen Ausnutzbarkeit sollten NUUO NVRmini-Geraete umgehend in ein vollstaendig isoliertes Netzwerksegment verschoben werden. Blockieren Sie jeglichen direkten Internetzugang und beschraenken Sie den Zugriff auf autorisierte Administratoren.
-
Zugriff auf upgrade_handle.php blockieren: Konfigurieren Sie eine Web Application Firewall oder einen Reverse Proxy, um saemtliche Anfragen an upgrade_handle.php zu blockieren. Dies eliminiert den spezifischen Angriffsvektor, kann jedoch die Update-Funktionalitaet des Geraets beeintraechtigen.
-
Systeme auf Kompromittierung pruefen: Untersuchen Sie den NVRmini auf Anzeichen einer Kompromittierung. Pruefen Sie das Dateisystem auf unbekannte Dateien, suchen Sie nach Webshells und analysieren Sie Netzwerkverbindungen auf verdaechtige ausgehende Kommunikation.
-
Geraetemigration priorisieren: Planen Sie die zeitnahe Migration auf eine aktiv gepflegte NVR-Loesung. NUUO NVRmini-Geraete mit Firmware von 2016 haben zweifellos das End-of-Life erreicht und stellen ein erhebliches Sicherheitsrisiko dar.
Technische Details
CVE-2018-14933 betrifft NUUO NVRmini-Netzwerkvideorecorder mit Firmware von 2016. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) und ohne jegliche Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) durchfuehrbar ist.
Die Schwachstelle liegt im PHP-Skript upgrade_handle.php, das normalerweise fuer Firmware-Upgrades zustaendig ist. Der writeuploaddir-Befehl akzeptiert den Parameter uploaddir, der ohne jegliche Bereinigung oder Validierung in einen Betriebssystembefehl eingebettet wird. Durch Einschleusen von Shell-Metazeichen wie Semikolons, Pipes oder Backticks kann ein Angreifer beliebige zusaetzliche Befehle anhaengen, die mit den Rechten des Webserver-Prozesses ausgefuehrt werden.
Besonders kritisch ist, dass weder eine Authentifizierung noch eine Sitzungspruefung stattfindet. Jeder Angreifer mit HTTP-Zugang zum Geraet kann die Schwachstelle direkt ausnutzen. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des NVR-Systems widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2018-14933 aktiv ausgenutzt?
Ja, CVE-2018-14933 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Mehrere Exploits sind auf Exploit-DB oeffentlich verfuegbar. Der EPSS-Score von 93.87 % (99.9. Perzentil) platziert diese Schwachstelle unter den am intensivsten ausgenutzten Schwachstellen ueberhaupt.
Kann CVE-2018-14933 ohne Anmeldedaten ausgenutzt werden?
Ja, die Schwachstelle erfordert keine Authentifizierung (PR:N). Das verwundbare Skript upgrade_handle.php ist ohne Anmeldung erreichbar. Jeder Angreifer mit Netzwerkzugang zum NVRmini kann die Schwachstelle direkt ausnutzen und beliebige Befehle ausfuehren.
Wie haengt CVE-2018-14933 mit CVE-2022-23227 zusammen?
Beide Schwachstellen betreffen NUUO NVR-Produkte. CVE-2018-14933 betrifft den NVRmini und nutzt upgrade_handle.php als Angriffsvektor, waehrend CVE-2022-23227 den NVRmini2 ueber handle_import_user.php angreift. Beide ermoeglichen unauthentifizierte Remote-Codeausfuehrung und werden aktiv ausgenutzt.
Gibt es einen Patch fuer CVE-2018-14933?
Der Patch-Status ist unklar, da die betroffene Firmware von 2016 stammt. NUUO NVRmini-Geraete haben moeglicherweise das End-of-Life erreicht. Es wird dringend empfohlen, das Geraet durch eine aktiv gepflegte NVR-Loesung zu ersetzen und bis dahin den Netzwerkzugang strikt einzuschraenken.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.