• 發布單位:TWCERT/CC
• 更新日期:2022-08-24
• 點閱次數:7507

資安研究單位 CYFIRMA 旗下的研究人員，近日發表研究報告，指出有超過 80,000 台海康威視監視攝影機，因內含一個嚴重的指令注入資安漏洞 CVE-2021-36260，使得駭侵者可輕易取得其影像資料，並且取得裝置控制權。

報告指出，駭侵者可利用此漏洞，傳送一個特製的訊息給含有此漏洞的海康威視裝置內的 web 伺服器，從而控制受駭裝置。

據 CYFIRMA 的報告指出，受此漏洞影響而存有弱點的 80,000 多台海康威視攝影機，普遍分布在全球多個國家，其中以中國、美國、越南、英國、烏克蘭、泰國、南非、法國、荷蘭、羅馬尼亞等國的數量最多。

CYFIRMA 說，雖然該漏洞在 2021 年 9 月就由海康威視於新版韌體中予以修復，但由於多數用戶都沒有經常更新 IoT 裝置韌體的習慣，導致至今仍有超過 100 國、2,300 以上使用該品牌產品的單位，其裝置都還在使用有漏洞的舊版韌體，造成極大的資安風險。

在 2021 年 12 月，一個使用 Mirai 惡意木馬程式碼的 Moobot 僵屍網路，就曾利用此漏洞與過去在海康威視裝置中發現的其他漏洞，發動大規模的 DDoS 攻擊；而在 2022 年 1 月，美國資安主管機關 CISA 也將 CVE-2021-36260 列為近來最常用於攻擊的資安漏洞之一。

建議採用各種連網 IoT 裝置的用戶，應經常注意資安單位與原廠發布的資安通報與更新消息，一但有相關的軟硬體更新發布，即應立即更新；切勿在設備安裝完成後就棄之不顧，這些裝置就很容易成為遭到各式駭侵攻擊的進入點。

• CVE編號：CVE-2021-36260
• 影響產品(版本)：請見海康威視資安通報網頁。
• 解決方案：更新至最新版本韌體。