- Aktif istismar
- CWE-306
CVE-2022-23227
NUUO NVRmini2 cihazlarında kimlik doğrulamasız kullanıcı ekleme ve root kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1747 gün
- Kaydı açan
- mitre
Yönetici özeti
Güvenlik kamerası kayıt cihazı olan bu ürün, şifre bilmeden uzaktan ele geçirilebiliyor ve açığın aktif olarak istismar edildiği bilinmektedir. Ürün artık üretici desteği almadığı için yama beklenmemeli, cihaz kullanımdan kaldırılmalı veya acilen ağdan izole edilmelidir. Kayıt görüntülerinin ele geçirilmesi ve cihazın iç ağa girişte basamak olarak kullanılması riski vardır.
ÖzetTürkçe
NUUO NVRmini2 cihazlarının 3.11 sürümüne kadar olan yazılımlarında, handle_import_user.php dosyasında kimlik doğrulama bulunmaması nedeniyle kimliği doğrulanmamış bir saldırgan şifrelenmiş bir TAR arşivi yükleyebilir ve cihaza istediği kullanıcıları ekleyebilir. Bu açık CVE-2011-5325 numaralı başka bir zafiyetle birleştirildiğinde web kök dizini altındaki rastgele dosyalar üzerine yazılabilir ve root yetkisiyle kod çalıştırılabilir. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler (KEV) listesine eklenmiştir ve etkilenen ürün kullanım ömrünü doldurmuştur.
Saldırgan ne yapabilir?
Ağdan erişebilen bir saldırgan, kimlik doğrulaması olmadan cihaza yönetici düzeyinde kullanıcı ekleyebilir ve root yetkisiyle kod çalıştırarak cihazın tamamen kontrolünü ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
NUUO NVRmini2 through 3.11 allows an unauthenticated attacker to upload an encrypted TAR archive, which can be abused to add arbitrary users because of the lack of handle_import_user.php authentication. When combined with another flaw (CVE-2011-5325), it is possible to overwrite arbitrary files under the web root and achieve code execution as root.
CISA'nın önerdiği eylem (İngilizce)
The impacted product is end-of-life (EoL) and/or end-of-service (EoS). Users should discontinue utilization of the product.
Ne yapmalı?
- Etkilenen ürün kullanım ömrü ve destek süresini doldurmuştur (EoL/EoS); CISA'nın gereklilikleri doğrultusunda NUUO NVRmini2 cihazının kullanımına son verin ve desteklenen bir ürünle değiştirin. CISA
- Bilinen bir düzeltme sürümü bulunmadığından, cihaz değiştirilene kadar internetten erişimi tamamen kapatın ve cihazı yalnızca güvenilir yönetim ağından erişilebilecek şekilde izole edin. Genel öneri
- Cihaz üzerindeki kullanıcı hesaplarını gözden geçirin; tanımadığınız veya yeni eklenmiş hesaplar varsa cihazın ele geçirildiğini varsayarak olay müdahalesi başlatın. Genel öneri
Ek önlemler
- Kayıt cihazlarını ve kameraları genel internetten erişilebilir hale getirmeyin; uzaktan erişim gerekiyorsa VPN kullanın. Genel öneri
- Cihaza gelen ağ trafiğini güvenlik duvarıyla kısıtlayın ve cihazı iç ağdaki diğer sistemlerden ayrı bir ağ segmentine yerleştirin. Genel öneri
- Cihazdan gelen beklenmedik dış bağlantıları ve web arayüzüne yönelik olağan dışı istekleri (özellikle kullanıcı içe aktarma sayfasına) izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| NUUO NVRmini2 Devices | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…master/advisories/NUUO/nuuo_nvrmini_round2.mkd Diğer
- github.com/rapid7/metasploit-framework/pull/16044 Diğer
- portswigger.net/…nerabilities-in-nuuo-nvrmini2-recording-device Diğer
- news.ycombinator.com/item Diğer
- nuuo.com/wp-content/uploads/2023/03/NUUO-EOL-letter Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.