JVNVU#90624081
HiSilicon 社製 hi3520d を利用したビデオエンコーダー製品に複数の脆弱性

HiSilicon 社製のビデオエンコーディングプロセッサ hi3520d に複数の脆弱性が発見されました。

• HiSilicon 社製のビデオエンコーディングプロセッサ hi3520d を組み込んだ IPTV/H.264/H.265 (Video Over IP) エンコーダー製品

HiSilicon 社製のビデオエンコーディングプロセッサ hi3520d を利用した IPTV/H.264/H.265 ビデオエンコーダーデバイスは IP ネットワーク上のビデオストリーミング機能をもつ製品に広く利用されています。hi3520d に以下の複数の脆弱性が発見されました。

• ハードコードされたパスワードで管理者用 Web インターフェースにアクセスできる - CVE-2020-24215
• Telnet からの root アクセス - CVE-2020-24218
• パストラバーサルによる任意のファイル閲覧 - CVE-2020-24219
• 認証されていないファイルのアップロード - CVE-2020-24217
• バッファオーバーフロー - CVE-2020-24214
• 不正な RTSP ビデオストリームアクセス - CVE-2020-24216

想定される影響は各脆弱性により異なりますが、遠隔の第三者によって、次のような影響を受ける可能性があります。

• ハードコードされたパスワードにより管理者用 Web インターフェースにアクセスされる - CVE-2020-24215
• ハードコードされたパスワードにより Telnet 経由で root ユーザとしてログインされる - CVE-2020-24218
• パストラバーサルにより、任意のファイルを読み出される - CVE-2020-24219
• 許可されていないファイルアップロードを実行される - CVE-2020-24217
  • 改ざんされたファームウェアをアップロードされることで、任意のコードを実行される
  • コマンドインジェクションにより、任意のコードを実行される
• バッファオーバーフローにより、サービス拒否 (DoS) 攻撃をされる - CVE-2020-24214
• RTSP (Real Time Streaming Protocol) を悪用され、許可されていないビデオストリームにアクセスされる - CVE-2020-24216

2020年9月16日現在、アップデートは提供されていません。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• ファイアウォールを設置したり、保護された LAN 内に配置したりすることで、当該デバイスへのインターネットアクセスを制限する