拝啓
時下益々ご清栄のこととお喜び申し上げます。平素は格別のご高配を賜り、厚く御礼申し上げます。
弊社から販売しておりますHikvision社製の一部IP製品にて、メーカー（Hikvision社）より存在していたセキュリティの脆弱性を発見、また本脆弱性対策のFW提供の通知が入りましたのでご連絡致します。
メーカーと詳細確認した結果、「実際対策が必要なケース」のご案内と「弊社が販売した実績がある製品のファームウェア」を纏めましたので下記内容をご確認ください。
リスクを事前に排除し、より良い製品とサービスを提供する為の製品改善活動となりますので、販売店の皆さまのご理解を頂きますようお願い申し上げます。
敬具
1. 発見内容
一部のHikvision製品の「Webサーバー」に悪意がある攻撃者によるコマンド入力を通した攻撃の脆弱性が発見されました。
攻撃者が作成した攻撃メッセージを送信することにより、コマンド・インジェクション攻撃を受ける可能性があります。
2. リスクが発生する
前提条件
対象製品、対象ファームウェアに該当する機器(8.を参照)
攻撃者がデバイスのネットワークにアクセスしている(Local含む)
デバイスがインターネットと直接つながっている
3. 対策
セキュリティを強化したファームウェアをリリースしました。
ユーザー様の現場の環境を確認した上で「高リスクの環境でご使用のお客様」は、ファームウェア更新をお願いいたします。(9.ファームウェアの入手先)から、弊社がご案内する手順に沿ってファームウェアのバージョンアップをお願い致します。
※低リスクに該当するお客様に関しても、外部からの脆弱性攻撃の可能性は低いケースとなりますが、機器又はネットワーク環境に直接攻撃されるケースも想定されるため、弊社にて安全を保障するものではございません。お客様判断のもとファームウェア更新の検討をお願い致します。
4. ファームウェアの更新、対策実施が必須なケース（高リスク）
該当型番(8.対象製品)のIPカメラを弊社NVRと組み合わせ(NVRの内蔵PoEポート)ではなく、「単体使用」で以下の方法(4-2.)で運用している機器
DDNS / 固定のGLobal IPを使用し、Port Forwardingして遠隔監視を行うケース
"2."のケースの中でHIKのDefault Portにてご使用のケース(http:80, https:445)が特にリスクが高くなるためポートの変更が望ましいです。
5. 脆弱性のリスクが低いケース（低リスク）
Local Networkのみ運用(攻撃者がLocal内にいる必要あるため、可能性きわめて低い)
NVRの内蔵PoEポートを使用してIPカメラを接続している場合
VPNを組んで運用
HIK-connect, HIK-Pro Connectを使って遠隔監視を運用
Http, Https ServerのFirewall設定の現場
6. 基準となる文書
HSRC-202109-01(作成日：2021-09-19)
7. 対象製品
PDFよりご確認ください
8. ファームウェアの入手先
弊社専用サポートサイト「Nextwinds」にてファームウェアのダウンロードをしてください。
個別でダウンロードされる場合は、以下のリストに機種とファームウェアを纏めましたのでご参照下さい。
ダウンロードもしくはファームウェアのアップデートが正常に行われない場合はHIKVISION公式ホームページでも改善ファームウェアをダウンロード頂けます。
『HIKVISION firmware Download page』
https://www.hikvision.com/en/support/download/firmware/
9. ファームウェア アップグレード方法
弊社専用サポートサイトNextwindsにてファームウェアのアップグレード方法をダウンロードしてください。
または、以下のLinkにてHIKVISION公式ホームページを参照してください。
10. 詳細確認方法
▷FWダウンロード
纏めファイル１
纏めファイル２