CVE-2021-36260criticalbajo ataqueCWE-78

CVE-2021-36260

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Security cameras web server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al arma26 días
Publicada en NVD22 sept
1ª PoC+26d
metasploit18 sept
CISA KEV+110d
Acción exigida por CISAplazo federal: 2022-01-24

Apply updates per vendor instructions.

En resumen

Un servidor web Hikvision no valida adecuadamente la entrada del usuario, permitiendo que atacantes inyecten comandos maliciosos que se ejecutan en el servidor. Esto puede dar a los atacantes control total del dispositivo afectado.

Detalle técnico

Vulnerabilidad de inyección de comandos (CWE-78) en el servidor web de productos Hikvision originada por validación insuficiente de entrada. Un atacante no autenticado puede enviar mensajes que contengan comandos del sistema operativo maliciosos que se ejecutan con privilegios del servidor, resultando en compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A command injection vulnerability in the web server of some Hikvision product. Due to the insufficient input validation, attacker can exploit the vulnerability to launch a command injection attack by sending some messages with malicious commands.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
PoCs públicas encontradas — 36
exploitdbwww.exploit-db.com/exploits/50441no verificadogithubgithub.com/tamim1089/HikvisionExploiter★ 397githubgithub.com/Aiminsun/CVE-2021-36260★ 306githubgithub.com/Cuerz/CVE-2021-36260★ 172githubgithub.com/TaroballzChen/CVE-2021-36260-metasploit★ 20githubgithub.com/rabbitsafe/CVE-2021-36260★ 17githubgithub.com/sylhetyhackvenger/HIKRAVEN★ 10githubgithub.com/tuntin9x/CheckHKRCE★ 7githubgithub.com/yanxinwu946/hikvision-unauthenticated-rce-cve-2021-36260★ 3githubgithub.com/aengussong/hikvision_probe★ 3githubgithub.com/NanoTrash/hikvision_brute★ 2githubgithub.com/saaydmr/hikvision-exploiter★ 1githubgithub.com/haingn/HIK-CVE-2021-36260-Exploit★ 1githubgithub.com/code-msga/HikvisionExploiter_fixed★ 0githubgithub.com/shubtheone/CVE-2021-36260-hikvision★ 0vulncheckvulncheck.com/xdb/bff72b5d73fano verificadovulncheckvulncheck.com/xdb/1b5ffb5f902ano verificadovulncheckvulncheck.com/xdb/fde64918a78dno verificadovulncheckvulncheck.com/xdb/536d9663b22eno verificadovulncheckvulncheck.com/xdb/085896cb17cfno verificadovulncheckvulncheck.com/xdb/a0a706788910no verificadovulncheckvulncheck.com/xdb/58c9a781875bno verificadovulncheckvulncheck.com/xdb/b03efde8723dno verificadovulncheckvulncheck.com/xdb/3d6450b00d2fno verificadovulncheckvulncheck.com/xdb/9622e9da156eno verificadocve_referencepacketstormsecurity.com/files/166167/Hikvision-IP-Camera-Unauthenticated-Command-Injection.htmlno verificadovulncheckvulncheck.com/xdb/6e02def98dc1no verificadovulncheckvulncheck.com/xdb/ebbc2b573eddno verificadocve_referencepacketstormsecurity.com/files/164603/Hikvision-Web-Server-Build-210702-Command-Injection.htmlno verificadovulncheckvulncheck.com/xdb/92d32617ecdcno verificadovulncheckvulncheck.com/xdb/df0fc9bf195cno verificadovulncheckvulncheck.com/xdb/c7787c78e609no verificadovulncheckvulncheck.com/xdb/3b4ddeccb73cno verificadovulncheckvulncheck.com/xdb/571b3021541ano verificadovulncheckvulncheck.com/xdb/36b538d97c5fno verificadovulncheckvulncheck.com/xdb/fb357a667b00no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.