Se ha reportado la detección de una vulnerabilidad crítica en múltiples productos de Hikvision, fabricante y proveedor de equipos de vigilancia de uso civil y militar controlado por el estado chino. Según el reporte, la explotación maliciosa de esta falla permitiría el despliegue de peligrosas intrusiones en los dispositivos afectados.

Identificada como CVE-2021-36260, esta vulnerabilidad existe debido a una validación de entrada incorrecta en los dispositivos afectados, lo que permitiría a los actores de amenazas remotos no autenticados pasar datos especialmente diseñados y ejecutar comandos arbitrarios en el sistema objetivo, mencionan expertos en ciberseguridad.

Esta vulnerabilidad recibió un puntaje de 8.8/10 según el Common Vulnerability Scoring System (CVSS), ya que su explotación maliciosa permitiría a los actores de amenazas comprometer los sistemas afectados por completo.

Según el reporte, la falla reside en los siguientes productos y versiones de Hikvision:

  • DS-2CVxxx1: Versiones anteriores a v210625
  • DS-2CVxxx6: Todas las versiones
  • HWI-xxxx: Todas las versiones
  • IPC-xxxx: todas las versiones
  • DS-2CD1xx1: Todas las versiones
  • DS-2CD1x23G0E(C): Todas las versiones
  • DS-2CD1x43(B): Todas las versiones
  • DS-2CD1x43(C): Todas las versiones
  • DS-2CD1x43G0E: Todas las versiones
  • DS-2CD1x53(B): Todas las versiones
  • DS-2CD1x53(C): Todas las versiones
  • DS-2CD1xx7G0: Todas las versiones
  • DS-2CD2xx6G2: Todas las versiones
  • DS-2CD2xx6G2(C): Todas las versiones
  • DS-2CD2xx7G2: Todas las versiones
  • DS-2CD2xx7G2(C): Todas las versiones
  • DS-2CD2x21G0(C): Todas las versiones
  • DS-2CD2x21G1(C): Todas las versiones
  • DS-2CD2xx3G2: Todas las versiones
  • DS-2CD3xx6G2: Todas las versiones
  • DS-2CD3xx6G2(C): Todas las versiones
  • DS-2CD3xx7G2: Todas las versiones
  • DS-2CD3xx7G2(C): Todas las versiones
  • DS-2CD3xx7G0E: Todas las versiones
  • DS-2CD3x21G0: Todas las versiones
  • DS-2CD3x21G0(C): Todas las versiones
  • DS-2CD3x51G0(C): Todas las versiones
  • DS-2CD3xx3G2: Todas las versiones
  • DS-2CD4xx0: Todas las versiones
  • DS-2CD4xx6: Todas las versiones
  • iDS-2XM6810: Todas las versiones
  • iDS-2CD6810: Todas las versiones
  • DS-2XE62x2F(D): Todas las versiones
  • DS-2XC66x5G0: Todas las versiones
  • DS-2XE64x2F(B): Todas las versiones
  • DS-2CD8Cx6G0: Todas las versiones
  • (i)DS-2PTxxxx: Todas las versiones
  • (i)DS-2SE7xxxx: Todas las versiones
  • DS-2DYHxxxx: Todas las versiones
  • DS-2DY9xxxx: Todas las versiones
  • PTZ-Nxxxx: Todas las versiones
  • HWP-Nxxxx: Todas las versiones
  • DS-2DF5xxxx: Todas las versiones
  • DS-2DF6xxxx: Todas las versiones
  • DS-2DF6xxxx-Cx: Todas las versiones
  • DS-2DF7xxxx: Todas las versiones
  • DS-2DF8xxxx: Todas las versiones
  • DS-2DF9xxxx: Todas las versiones
  • iDS-2PT9xxxx: Todas las versiones
  • iDS-2SK7xxxx: Todas las versiones
  • iDS-2SK8xxxx: Todas las versiones
  • iDS-2SR8xxxx: Todas las versiones
  • iDS-2VSxxxx: Todas las versiones
  • DS-2TBxxx: Todas las versiones
  • DS-Bxxxx: Todas las versiones
  • DS-2TDxxxxB: Todas las versiones
  • DS-2TD1xxx-xx: Todas las versiones
  • DS-2TD2xxx-xx: Todas las versiones
  • DS-2TD41xx-xx/Wx: Todas las versiones
  • DS-2TD62xx-xx/Wx: Todas las versiones
  • DS-2TD81xx-xx/Wx: Todas las versiones
  • DS-2TD4xxx-xx/V2: Todas las versiones
  • DS-2TD62xx-xx/V2: Todas las versiones
  • DS-2TD81xx-xx/V2: Todas las versiones
  • DS-76xxNI-K1xx(C): Todas las versiones
  • DS-76xxNI-Qxx(C): Todas las versiones
  • DS-HiLookI-NVR-1xxMHxx-C(C): Todas las versiones
  • DS-HiLookI-NVR-2xxMHxx-C(C): Todas las versiones
  • DS-HiWatchI-HWN-41xxMHxx(C): todas las versiones
  • DS-HiWatchI-HWN-42xxMHxx(C): Todas las versiones
  • DS-71xxNI-Q1xx(C): Todas las versiones
  • DS-HiLookI-NVR-1xxMHxx-D(C): Todas las versiones
  • DS-HiLookI-NVR-1xxHxx-D(C): Todas las versiones
  • DS-HiWatchI-HWN-21xxMHxx(C): Todas las versiones
  • DS-HiWatchI-HWN-21xxHxx(C): Todas las versiones
  • DS-2CD1x23G0: Todas las versiones
  • DS-2CD2xx1G0: Todas las versiones
  • DS-2CD2xx1G1: Todas las versiones
  • DS-2CD2x27G1: Todas las versiones
  • DS-2CD2x27G3E: Todas las versiones
  • DS-2CD4xx6FWD: Todas las versiones
  • DS-2CD4xx5G0: Todas las versiones
  • DS-2XE6xx5G0: Todas las versiones
  • DS-2XE6xx2F: Todas las versiones
  • DS-2XM6xx2FWD: Todas las versiones
  • DS-2XM6xx2G0: Todas las versiones
  • (i)DS-2DExxxx: Todas las versiones

Si bien la vulnerabilidad podría ser explotada por actores de amenazas no autenticados, hasta el momento no se han registrado intentos de explotación activa. No obstante, especialistas en ciberseguridad reportan la disponibilidad de un exploit vinculado a esta falla, por lo que recomiendan a los usuarios de implementaciones afectadas aplicar los parches disponibles a la brevedad.

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).