康威视（Hikvision）已披露其 HikCentral 产品套件多个版本中存在的三个重大安全漏洞。这些漏洞可能导致攻击者执行恶意命令，并获取未授权的管理员访问权限。
这三个漏洞的 CVE 编号分别为 CVE-2025-39245、CVE-2025-39246 和 CVE-2025-39247，由安全研究员优素福・阿尔法希德（Yousef Alfuhaid）、纳德・阿尔哈比（Nader Alharbi）、爱德华多・比多（Eduardo Bido）以及马蒂亚斯・卢特博士（Dr. Matthias Lutter）报告至海康威视安全响应中心（HSRC）。
- CVE-2025-39247 漏洞允许未经验证的攻击者绕过 HikCentral Professional 的访问控制。
- 该漏洞利用了 API 端点上缺失的身份验证检查。
- 修复措施：升级系统，并加强网络控制与日志管控。
最严重的漏洞（CVE-2025-39247）影响 HikCentral Professional 的 V2.3.1 至 V2.6.2 版本，其 CVSS v3.1 基础评分为 8.6（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N），属于高危级别。
该访问控制缺陷允许未经验证的远程攻击者获取管理员权限，且无需用户交互或预先掌握身份验证凭据。
从技术层面看，漏洞的根本原因在于 HikCentral Professional 的 Web 服务 API 端点中访问控制机制不完善。部分管理功能未对用户身份验证令牌进行妥善验证，使得攻击者可通过构造特制 HTTP 请求调用特权操作。
第一个漏洞（CVE-2025-39245）是 HikCentral Master Lite 的 V2.2.1 至 V2.3.2 版本中存在的 CSV 注入攻击向量。
该漏洞的 CVSS 评分为 4.7（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:N/A:L），属于中危级别。攻击者可通过构造恶意 CSV 数据文件注入可执行命令。
当毫无防备的用户导入这些恶意 CSV 文件时，文件中嵌入的命令会在应用程序上下文中执行，可能影响系统可用性与数据处理完整性。
HikCentral FocSign 的 V1.4.0 至 V2.2.0 版本中存在未加引号的服务路径漏洞（CVE-2025-39246），其 CVSS 评分为 5.3（评分向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N），属于中危级别。
这是一个 Windows 系统特有的漏洞：当服务可执行文件的路径包含空格，但服务配置中未对路径添加正确引号时，漏洞即会存在。
拥有本地系统访问权限的已验证攻击者，可通过在文件系统的关键位置放置恶意可执行文件来利用该漏洞。当存在漏洞的服务启动时，由于路径解析存在歧义，Windows 系统可能会执行攻击者的恶意程序，而非合法的服务二进制文件。
海康威视已发布安全补丁，修复了上述三个漏洞。其中：
- HikCentral Master Lite 用户应升级至 V2.4.0 版本；
- HikCentral FocSign 用户需升级至 V2.3.0 版本；
- 最重要的更新针对 HikCentral Professional：用户需安装 V2.6.3 或 V3.0.1 版本，以修复高危级别的访问控制绕过漏洞。
由于 CVE-2025-39247 漏洞严重程度高，且可被远程攻击者在无需身份验证的情况下利用，企业应优先为该漏洞安装补丁。
该漏洞的网络攻击向量及已变更的范围分类表明，漏洞若被成功利用，影响范围可能超出最初被入侵的目标，波及更多系统。安全团队应实施全面的网络分段，以限制潜在的攻击扩散。
- CVSS（Common Vulnerability Scoring System）：通用漏洞评分系统，是行业标准的漏洞严重程度评估框架，通过评分（0-10 分）直观反映漏洞风险，其中 8.0-10.0 为高危、4.0-7.9 为中危、0.1-3.9 为低危。
- CSV 注入（CSV Injection）：一种通过构造恶意 CSV 文件，当文件被导入应用程序时执行嵌入命令的攻击方式，常利用应用程序对 CSV 数据解析时的安全校验缺失。
- 未加引号的服务路径（Unquoted Service Path）：Windows 系统服务配置中的常见漏洞，当服务路径含空格且未加引号时，系统可能误将路径中第一个空格后的内容视为参数，转而执行攻击者放置的恶意程序。
- 访问控制绕过（Access Control Bypass）：指攻击者通过技术手段避开系统的访问权限验证机制，获取本不应拥有的操作权限（如管理员权限）的漏洞类型。
红客联盟·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
联系我们：admin@chnhonker.com
