概述
CVE-2024-58274是Hikvision CSMP（综合安全管理平台）iSecure Center中存在的一个操作系统命令注入漏洞。
漏洞描述
Hikvision CSMP（综合安全管理平台）iSecure Center在2024年8月1日之前的版本中，攻击者可以通过向/center/api/installation/detection端点发送包含$( )命令的JSON数据来执行任意操作系统命令。该漏洞在2024年和2025年已被实际利用。
漏洞详情
- 发布日期：2025年10月22日 04:15
- 最后修改：2025年10月22日 04:15
- 远程利用：是
- 数据来源：cve@mitre.org
CVSS评分
| 评分 | 版本 | 严重等级 | 向量 | 可利用性评分 | 影响评分 | 来源 |
|---|---|---|---|---|---|---|
| 8.3 | CVSS 3.1 | 高危 | 3.9 | 3.7 | cve@mitre.org |
解决方案
- 更新Hikvision CSMP iSecure Center到最新版本
- 立即应用供应商提供的安全补丁
- 监控系统日志中的可疑活动
相关资源
- https://forum.butian.net/article/498
- https://github.com/ahisec/nuclei-tps/blob/main/http/vulnerabilities/hikvision/hikvision-csmp-installation-rce.yaml
- https://xz.aliyun.com/news/14639
CWE分类
CWE-78: 操作系统命令中使用的特殊元素的不当中和（OS命令注入）
CAPEC攻击模式
- CAPEC-6: 参数注入
- CAPEC-15: 命令分隔符
- CAPEC-43: 利用多输入解释层
- CAPEC-88: OS命令注入
- CAPEC-108: 通过SQL注入的命令行执行
漏洞时间线
| 时间 | 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|---|
| 2025年10月22日 | 新增 | 描述 | Hikvision CSMP（综合安全管理平台）iSecure Center在2024年8月1日之前的版本允许在/center/api/installation/detection JSON数据中通过$( )执行命令，已在2024和2025年被实际利用 | |
| 2025年10月22日 | 新增 | CVSS V3.1 | AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L | |
| 2025年10月22日 | 新增 | CWE | CWE-78 | |
| 2025年10月22日 | 新增 | 参考链接 | 三个相关资源链接 |