Önde gelen gözetim ve erişim kontrol sistemleri sağlayıcısı Hikvision, yeni açıklanan iki yığın taşması güvenlik açığı nedeniyle ciddi güvenlik riskleriyle karşı karşıya.
CVE-2025-66176 ve CVE-2025-66177 olarak takip edilen bu kusurlar, aynı yerel ağdaki (LAN) saldırganların özel hazırlanmış paketler göndererek cihaz arızalarını tetiklemesine olanak tanıyor. Her ikisi de 8,8 gibi yüksek bir CVSS v3.1 temel puanına sahiptir; bu, kimlik doğrulama gerektirmeden önemli potansiyel etkiye işaret etmektedir.
Güvenlik araştırmacıları, Hikvision’un ağ tespiti için kullanılan bir protokol olan cihaz Arama ve Keşif özelliğinde bu sorunları ortaya çıkardı.
Sömürü, yalnızca paylaşılan Wi-Fi veya ofis LAN’ları gibi bitişik ağ erişimini gerektirir ve bu da onu içerideki kişiler veya fırsatçı bilgisayar korsanları için birincil hedef haline getirir. Yama uygulanmamış bir cihaz tamamen çökebilir ve gözetim kurulumlarındaki kritik operasyonları kesintiye uğratabilir.
| CVE Kimliği | Etkilenen Ürünler | CVSS v3.1 Temel Puan | Tanım |
|---|---|---|---|
| CVE-2025-66176 | Kısmi Geçiş Kontrol Serisi Ürünler | 8.8 (AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) | Arama ve Keşif özelliğinde yığın taşması |
| CVE-2025-66177 | Kısmi NVR, DVR, CVR, IPC Serisi Ürünler | 8.8 (AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) | Arama ve Keşif özelliğinde yığın taşması |
Vektör dökümü, karmaşıklığın düşük olduğunu ortaya koyuyor: Saldırganların ayrıcalığa (PR:N) ve kullanıcı etkileşimine (UI:N) ihtiyacı yoktur; yüksek gizlilik, bütünlük ve kullanılabilirlik etkileri vardır (C:H/I:H/A:H).
CVE-2025-66176, bir Cisco Talos Ekibi üyesi tarafından rapor edilirken, CVE-2025-66177, bağımsız araştırmacılar Angel Lozano Alcazar ve Pedro Guillen Nuñez tarafından rapor edildi. Açıklamaları, yığın taşmalarının sürekli olarak hizmet reddi saldırılarına olanak tanıdığı IoT ve gözetim ekipmanlarına yönelik devam eden incelemelerin altını çiziyor.
Hikvision derhal yama yapılmasını talep ediyor. Kullanıcılar ürün yazılımı güncellemelerini resmi destek sayfasından indirebilirler. Şirket, geçici azaltma önlemleri olarak ağ bölümlendirmesine ve kullanılmayan keşif özelliklerinin devre dışı bırakılmasına önem veriyor.
Bu kusurlar, video gözetim güvenliğine ilişkin endişelerin arttığı bir dönemde ortaya çıkıyor. Geçen yıl benzer Hikvision tavsiyeleri görüldü ve bu durum tedarik zinciri riskleri konusunda CISA uyarılarına yol açtı. Akıllı binalardan kamu güvenliğine kadar bu cihazlara güvenen kuruluşlar, açığa çıkan hizmetler için Nmap gibi araçları kullanarak taramalara öncelik vermelidir.
Uzmanlar, yama yapılmayan sistemlerin, acil durumlarda gözetim kesintileri gibi daha geniş çaplı olaylara yol açabileceği konusunda uyarıyor. Bir Talos sözcüsü, “LAN’a bitişik saldırılar kesinti çıtasını düşürüyor” dedi. Tehditler geliştikçe satıcıların gömülü sistemlerde sıfır güven uygulamalarını hızlandırması gerekiyor.
Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
