CVE-2023-52163

Nome do Software Vulnerável e Versões Afetadas Digiever DS-2105 Pro versões 3.1.0.71-11 Digiever DS-2105 Pro (versões afetadas não especificadas)

Descrição O gravador de vídeo em rede (NVR) Digiever DS-2105 Pro possui uma falha relacionada à falta de autorização, permitindo injeção de comandos via o endpoint time tzsetup.cgi. Isso permite que um invasor, após autenticação bem-sucedida, execute comandos arbitrários no sistema. A Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA) adicionou este problema ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), indicando exploração ativa no ambiente real. Pesquisadores vincularam tentativas de exploração às botnets Mirai e ShadowV2. Relata-se que o dispositivo está em fim de vida e não é mais suportado pelo fabricante. A vulnerabilidade possui uma pontuação CVSS de 8.8 (Alta).

Endpoints da API /time tzsetup.cgi

Recomendações Digiever DS-2105 Pro versões 3.1.0.71-11: Dado que o dispositivo está em fim de vida e sem correções, evite expor o NVR à internet. Digiever DS-2105 Pro versões 3.1.0.71-11: Altere os nomes de usuário e senhas padrão para melhorar a segurança. Digiever DS-2105 Pro (versões afetadas não especificadas): Isole ou segmente as interfaces de gerenciamento do NVR/DVR afetadas. Digiever DS-2105 Pro (versões afetadas não especificadas): Implemente controles de privilégio mínimo. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.