Em 28 de agosto de 2025, o HikVision Security Response Center (HSRC) emitiu SN No. HSRC-202508-01, detalhando três vulnerabilidades críticas que afetam vários produtos Hikcentral.
Identificadores CVE atribuídos coletivamente CVE-2025-39245, CVE-2025-39246 e CVE-2025-39247, essas vulnerabilidades variam de gravidade de moderadas a altas e podem permitir que os invasores executem comandos não autorizados, escaparem privilegiadas ou obtenham acordos administrativos.
A primeira vulnerabilidade, CVE-2025-39245, é uma vulnerabilidade de injeção de CSV descoberta nas versões Hikcentral Master Lite 2.2.1 a 2.3.2.
Nas versões afetadas, os arquivos CSV de maneira maliciosamente criados podem incluir fórmulas ou comandos que executam quando abertos por aplicativos de planilha.
Ao incorporar o código executável nos campos CSV, um invasor pode induzir os operadores a desencadear scripts nocivos simplesmente visualizando logs ou relatórios exportados.
Classificado com uma pontuação base CVSS v3.1 base de 4,7 (AV: N/AC: L/PR: N/UI: R/S: C/C: N/I: N/A: L), esse vetor requer acesso à rede e interação do usuário, mas pode ter um impacto sistêmico se não for mitigado.
Os usuários são aconselhados a atualizar para o Master Lite, versão 2.4.0, onde a higienização de entrada foi implementada para neutralizar as fórmulas incorporadas.
Caminho de serviço não cotado
A segunda edição, CVE-2025-39246, afeta as versões de focos hikcentral 1.4.0 a 2.2.0. Uma vulnerabilidade não cotada no caminho de serviço surge quando Windows Os executáveis do serviço residem em caminhos de arquivo contendo espaços, mas não possuem aspas em suas definições de serviço.
Um usuário local autenticado com permissões de gravação de arquivos pode plantar um binário malicioso em um caminho de prioridade mais alta, fazendo com que o Windows o execute com privilégios do sistema.
Com uma pontuação base CVSS de 5,3 (av: n/ac: l/pr: n/ui: n/s: u/c: n/i: l/a: n), esse vulnerabilito ressalta a necessidade de configuração de serviço seguro.
Hikvision tem lançado FOCSIGN versão 2.3.0 Para resolver o problema, envolvendo todos os caminhos de serviço nas cotações e verificando as assinaturas executáveis.
A vulnerabilidade mais grave divulgada é CVE-2025-39247, uma vulnerabilidade de controle de acesso nas versões profissionais HikCentral 2.3.1 a 2.6.2.
Ao explorar verificações de autenticação insuficientes, um invasor remoto não autenticado pode ignorar os controles de acesso e obter privilégios administrativos.
Depois que os direitos do administrador são obtidos, os adversários podem reconfigurar as configurações do sistema, criar novas contas ou implantar mais malware.
Marcada em um 8.6 crítico (AV: N/AC: L/PR: N/UI: N/S: C/C: H/I: N/A: N), essa vulnerabilidade representa um alto risco para as empresas que dependem do HikCentral Professional para monitoramento de segurança.
Hikvision Recomenda a atualização para a versão profissional 2.6.3 ou 3.0.1, os quais fecham a brecha de autenticação e fortalecem o gerenciamento de sessões.
Uma visão geral consolidada dos produtos e correções afetados é a seguinte:
| Produto | Cve id | Versões afetadas | Versão fixa (s) |
|---|---|---|---|
| HikCentral Master Lite | CVE-2025-39245 | 2.2.1 – 2.3.2 | 2.4.0 |
| Foco hikcentral | CVE-2025-39246 | 1.4.0 – 2.2.0 | 2.3.0 |
| HikCentral Professional | CVE-2025-39247 | 2.3.1 – 2.6.2 | 2.6.3 ou 3.0.1 |
Para obter as versões corrigidas, os administradores devem entrar em contato com suas equipes de suporte técnico regional através do portal de contato da Hikvision.
Os links detalhados de download estão disponíveis para o FOCSIGN 2.3.0 e Professional 2.6.3/3.0.1 no site da Hikvision.
O HSRC credita Yousef Alfuhaid e Nader Alharbi por relatar em conjunto a questão da injeção de CSV, Eduardo Bido por identificar a vulnerabilidade do caminho de serviço não cotado, e o Dr. Matthias Lutter para descobrir o desvio de controle de acesso.
“Incentivamos os pesquisadores de segurança a continuarem relatando descobertas ao HSRC para ajudar a garantir a integridade de nossos produtos”, afirma os consultivos.
Encontre esta história interessante! Siga -nosLinkedIneXPara obter mais atualizações instantâneas.