Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-78

CVE-2021-36260

Hikvision güvenlik kameralarının web sunucusunda komut enjeksiyonu açığı

Hikvision Security cameras web server

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
1862 gün
Kaydı açan
hikvision
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 10 Oca 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Oca 2022.

Yönetici özeti

Etkilenen Hikvision kameraları, internet üzerinden herhangi bir şifre gerekmeden ele geçirilebilir ve açığın aktif olarak istismar edildiği bilinmektedir. Ele geçirilen kameralar görüntü izleme, ağa sızma için sıçrama noktası olarak kullanılma gibi risklere yol açar. Güncellemelerin vakit kaybetmeden uygulanması gerekir.

ÖzetTürkçe

Bazı Hikvision ürünlerinin web sunucusunda, girdi doğrulamasının yetersiz olması nedeniyle bir işletim sistemi komut enjeksiyonu (CWE-78) açığı bulunmaktadır. Saldırgan, kötü amaçlı komutlar içeren özel hazırlanmış mesajlar göndererek açığı istismar edebilir. Açık kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebilmektedir. Etkilenen ürünler Hikvision güvenlik kameralarının web sunucusudur ve açık CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan cihaz üzerinde keyfi komut çalıştırarak cihazın tam kontrolünü ele geçirebilir. Bu durum görüntülerin gizliliğini, cihaz bütünlüğünü ve kullanılabilirliğini tehlikeye atar.

Kaynaktaki açıklama (İngilizce)

A command injection vulnerability in the web server of some Hikvision product. Due to the insufficient input validation, attacker can exploit the vulnerability to launch a command injection attack by sending some messages with malicious commands.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Hikvision'ın yayımladığı güvenlik güncellemesini kamera ve ilgili cihazların aygıt yazılımına uygulayın; etkilenen modelleri ve güncel sürümleri üreticinin duyurusundan doğrulayın. Genel öneri
  2. CISA'nın gereği doğrultusunda güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa kameraların web arayüzüne internetten erişimi kapatın ve erişimi yalnızca güvenilir yönetim ağlarıyla sınırlayın. Genel öneri

Ek önlemler

  • Kameraları ve benzeri IoT cihazlarını doğrudan internete açmayın; ayrı bir VLAN'a alın ve güvenlik duvarı ile erişimi kısıtlayın. Genel öneri
  • Cihazların web arayüzüne yönelik olağan dışı istekleri ve cihazlardan çıkan beklenmedik giden bağlantıları izleyin. Genel öneri
  • Şüpheli bir etkinlik varsa cihazı ağdan ayırın, aygıt yazılımını güncelleyin ve yönetici parolalarını değiştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Hikvision Security cameras web server Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.