CVE-2017-7921

Falha de autenticação (CWE-287) em firmwares antigos de várias linhas de câmeras IP Hikvision, que permite a um atacante remoto sem credenciais escalar privilégios até o nível de administrador e acessar vídeo e configurações do dispositivo. A gravidade é real e confirmada por exploração ativa (está no catálogo KEV da CISA), mas o problema está circunscrito a builds de firmware lançados entre 2014 e 2016 — a maioria dos ambientes que já atualizou nos últimos anos não está exposta.

A vulnerabilidade foi identificada pelo pesquisador conhecido como "Montecrypto" no fórum IPCamTalk e reportada via ICS-CERT/CISA como ICSA-17-124-01. O mecanismo documentado oficialmente é genérico: a aplicação embarcada de gerenciamento web da câmera "não autentica adequada ou corretamente os usuários", o que permite a um atacante assumir privilégios administrativos sem apresentar credenciais válidas. Nem o advisory da CISA nem o da Hikvision detalham o endpoint ou o parâmetro exato explorado — a caracterização técnica pública é limitada por design (a Hikvision não publicou write-up de causa raiz).

É importante separar esta CVE de sua companheira próxima, CVE-2017-7923 (CWE-260, senha em arquivo de configuração), reportada no mesmo advisory e pelo mesmo pesquisador. As duas afetam faixas de firmware similares e frequentemente são confundidas em relatos de exploração — CVE-2017-7921 é a falha de autenticação em si, CVE-2017-7923 é a exposição de credenciais armazenadas em arquivo de configuração acessível.

O vetor CVSS publicado pela CISA no advisory original é diferente do informado nesta página: 10.0 com AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (Scope Changed), contra o 9.8 com S:U (Scope Unchanged) que consta em bases como o NVD. A diferença está no campo Scope — se a exploração no dispositivo afeta componentes fora do escopo de segurança do serviço vulnerável — e reflete divergência de avaliação entre CISA e NVD, não uma correção de versão.

O vetor de ataque é rede, sem necessidade de autenticação prévia (AV:N, PR:N, UI:N): basta que a interface de gerenciamento web/HTTP da câmera esteja alcançável pelo atacante. Não há pré-condição de configuração não padrão conhecida — o problema está no comportamento padrão do firmware afetado. Isso torna o vetor mais amplo do que muitas CVEs 'críticas': qualquer câmera dessas séries com a interface exposta à internet ou a uma rede não segmentada é candidata a exploração.

O advisory original da CISA (2017) afirmou não haver exploit público conhecido no momento da publicação. Isso mudou: existe PoC pública referenciada (paste no ghostbin), módulo Metasploit e template Nuclei disponíveis, o que reduz a barreira técnica de exploração para script kiddie/automação em massa — coerente com o EPSS praticamente máximo (0,99998) e com a inclusão no catálogo KEV da CISA, que exige evidência de exploração real, não apenas teórica.

O resultado final da exploração, segundo o próprio advisory, é escalada de privilégios ou assunção da identidade de um usuário autenticado, com acesso a dados sensíveis — na prática, controle administrativo do dispositivo, visualização/alteração de configurações e acesso ao stream de vídeo. Câmeras Hikvision vulneráveis a essa classe de falha já foram historicamente recrutadas por botnets IoT (ex.: variantes Mirai) para DDoS e como pivô de rede, embora essa CVE específica não tenha atribuição documentada de campanha nas fontes consultadas.

A correção real é atualizar o firmware. A Hikvision publicou versões corrigidas por linha de produto (modelos norte-americanos, segundo o advisory da CISA): DS-2CD2xx2F-I Series V5.4.5 build 170123 ou posterior; DS-2CD2xx0F-I Series V5.4.5 build 170123 ou posterior; DS-2CD2xx2FWD Series V5.4.5 build 170124 ou posterior; DS-2CD4x2xFWD Series V5.4.5 build 170228 ou posterior; DS-2CD4xx5 Series V5.4.5 build 170302 ou posterior; DS-2DFx Series V5.4.9 build 170123 ou posterior; DS-2CD63xx Series V5.4.5 build 170206 ou posterior. Modelos e procedimentos podem variar por região — a Hikvision alerta que a disponibilidade de firmware e o processo de upgrade diferem entre mercados.

O fornecedor faz um alerta relevante: câmeras de 'mercado cinza' (canais não autorizados, com firmware não oficial modificado) podem não aceitar a atualização corretamente, ou a atualização pode reverter customizações da interface para o estado original — nesses casos a única mitigação real é substituir o dispositivo por um de canal autorizado, já que não há patch garantido para firmware adulterado.

Para quem não pode atualizar imediatamente, a CISA recomenda controles compensatórios genéricos de segmentação: nunca expor a interface de gerenciamento da câmera diretamente à internet, isolar a rede de vídeo/câmeras da rede corporativa por firewall, e usar VPN para qualquer acesso remoto necessário. Isso não corrige a falha, apenas reduz a superfície de ataque — um atacante já dentro da rede segmentada ainda explora a falha sem obstáculo. Não há mitigação por configuração documentada (nenhuma flag ou hardening que neutralize a falha em firmware vulnerável); a única mitigação funcional é a atualização de firmware.

O advisory original da CISA (2017) declarou não haver exploit público conhecido no momento — isso não é mais o caso: há PoC pública, módulo Metasploit e template Nuclei em circulação, o que sugere que ferramentas de scanning em massa já têm assinatura para a falha. Nenhuma das fontes oficiais (Hikvision, CISA) publicou o padrão exato de requisição HTTP usado no bypass, então não é possível apontar um IOC de payload preciso aqui.

Na prática, o sinal mais confiável em ambientes que operam essas câmeras é: requisições HTTP/HTTPS à interface de gerenciamento do dispositivo que resultam em ações administrativas (alteração de configuração, acesso a stream, criação/alteração de usuário) sem sessão autenticada previamente estabelecida, ou picos de acesso à interface web da câmera partindo de IPs externos/não corporativos. Câmeras comprometidas costumam apresentar reinícios inesperados, alteração de configurações de rede/NTP/DNS, ou tráfego de saída atípico (indicativo de recrutamento em botnet) — sinais indiretos, não uma assinatura de exploração específica desta CVE.