【漏洞通告】AnnkeNVR远程代码执行漏洞(CVE-2021-32941)

0x00 漏洞概述

CVE   ID	CVE-2021-32941	时    间	2021-08-30
类    型	RCE	等    级	严重
远程利用	是	影响范围
攻击复杂度	低	可用性	高
用户交互	无	所需权限	无
PoC/EXP		在野利用

 

0x01 漏洞详情

 

Annke是一家受欢迎的监控系统和解决方案制造商，其产品辐射全球30多个国家和地区，一跃成为北美、欧洲多国、澳洲等在线市场知名品牌。它改变了千万用户对家居安防的使用体验，全球活跃用户数量达3000万。

2021年8月26日，CISA发布安全公告，公开了在Annke Network Video Recorder（NVR）中发现的一个远程代码执行漏洞（CVE-2021-32941），其CVSSv3评分为9.4。

NVR是任何联网安全摄像机系统的一个重要组成部分，它们被设计用来捕捉、存储和管理来自IP摄像头的传入视频源。该漏洞是Annke N48PBB（NVR）中基于堆栈的缓冲区溢出漏洞，未经身份验证的远程攻击者可以利用此漏洞访问敏感信息并以root权限执行任意代码。攻击者可以利用此漏洞访问录制的视频、删除镜头、更改配置和关闭某些摄像机等。

 

影响范围

N48PBB(NVR) <= V3.4.106 build 200422

 

0x02 处置建议

目前此漏洞已经修复，建议及时升级更新到最新版本。

下载链接：

https://www.annke.com/pages/download-center

 

通用安全建议

• 尽量减少所有控制系统设备或系统的网络暴露情况，并确保它们不能从互联网访问。

• 将控制系统网络和远程设备置于防火墙之后，并将其与商业网络隔离。

• 当需要远程访问时使用安全的方法，如虚拟专用网络（VPN），并确保VPN是最新版本。

 

0x03 参考链接

https://us-cert.cisa.gov/ics/advisories/icsa-21-238-02

https://www.nozominetworks.com/blog/new-annke-vulnerability-shows-risks-of-iot-security-camera-systems/

https://www.infosecurity-magazine.com/news/critical-iot-camera-flaw-allows/

0x04 更新版本

版本	日期	修改内容
V1.0	2021-08-30	首次发布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

 

0x06 关于我们

关注以下公众号，获取更多资讯：

本文始发于微信公众号（维他命安全）：【漏洞通告】Annke NVR远程代码执行漏洞 (CVE-2021-32941)