- Aktif istismar
- CWE-78
CVE-2018-14933
NUUO NVRmini cihazlarında upgrade_handle.php üzerinden işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3006 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, internetten veya iç ağdan hiçbir şifre gerekmeden güvenlik kayıt cihazının tamamen ele geçirilmesine izin veriyor ve aktif olarak istismar ediliyor. Ürünün üretici desteği sona erdiği için düzeltme beklenmemeli, cihaz kullanımdan kaldırılmalıdır. Acil aksiyon alınması önerilir.
ÖzetTürkçe
NUUO NVRmini cihazlarındaki upgrade_handle.php dosyası, writeuploaddir komutunda uploaddir parametresine verilen kabuk meta karakterlerini yeterince denetlemiyor. Bu da işletim sistemi komut enjeksiyonuna (CWE-78) yol açıyor. Kimlik doğrulama veya kullanıcı etkileşimi gerekmeden ağ üzerinden istismar edilebiliyor. Açık CISA KEV listesine eklenmiştir ve aktif olarak istismar edildiği bilinmektedir. Etkilenen ürün ömrünü tamamlamıştır (EoL/EoS).
Saldırgan ne yapabilir?
Saldırgan cihaz üzerinde uzaktan, kimlik doğrulaması olmadan keyfi komut çalıştırabilir ve cihazın gizlilik, bütünlük ve erişilebilirliği üzerinde tam kontrol elde edebilir. Kayıt cihazındaki görüntülere erişebilir, cihazı ele geçirip ağdaki diğer sistemlere sıçrama noktası olarak kullanabilir.
Kaynaktaki açıklama (İngilizce)
upgrade_handle.php on NUUO NVRmini devices allows Remote Command Execution via shell metacharacters in the uploaddir parameter for a writeuploaddir command.
CISA'nın önerdiği eylem (İngilizce)
The impacted product is end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue utilization of the product.
Ne yapmalı?
- Etkilenen NUUO NVRmini cihazlarının ömrünü tamamladığını (EoL/EoS) göz önünde bulundurun; verilerde bir düzeltme sürümü belirtilmemiştir. Ürünün kullanımını sonlandırın ve desteklenen bir çözümle değiştirin. CISA
- Değişim yapılana kadar cihazı internetten tamamen erişilemez hale getirin ve yönetim arayüzüne erişimi güvenlik duvarıyla yalnızca güvenilir yönetim istasyonlarıyla sınırlandırın. Genel öneri
- Cihazı ayrı bir ağ segmentine (VLAN) alarak diğer kritik sistemlerle bağlantısını kısıtlayın. Genel öneri
- Cihazın ele geçirilmiş olabileceğini varsayarak olağandışı süreçleri, yapılandırma değişikliklerini ve dışarıya giden bağlantıları inceleyin; cihazdaki kimlik bilgilerini değiştirin. Genel öneri
Ek önlemler
- Ömrünü tamamlamış ağa bağlı cihazların envanterini çıkarın ve bunları düzenli olarak desteklenen ürünlerle değiştirme planına bağlayın. Genel öneri
- Kayıt cihazlarına yönelik upgrade_handle.php isteklerini ve uploaddir parametresinde kabuk meta karakterleri içeren istekleri ağ ve günlük kayıtlarında izleyin. Genel öneri
- Kamera ve kayıt cihazlarını internete doğrudan açmak yerine VPN gibi güvenli bir erişim yöntemi kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| NUUO NVRmini Devices | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- exploit-db.com/exploits/45070 İstismar kodu ya da analiz
- exploit-db.com/exploits/46340 İstismar kodu ya da analiz
- nuuo.com/…etter%EF%BC%BFNVRmini-2-and-NVRsolo-series.pdf Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.