Introdução
Hikvision publicou alertas para duas vulnerabilidades do tipo stack overflow (CVE-2025-66176 e CVE-2025-66177) que permitem causar falhas em dispositivos via pacotes especialmente forjados na função Search and Discovery. Ambas foram pontuadas com CVSS v3.1 8.8 e não exigem autenticação.
Alcance e condições de exploração
As falhas afetam séries de produtos de vigilância e controle de acesso da Hikvision (NVR, DVR, CVR, IPC e alguns produtos de controle de acesso). A exploração requer acesso adjacente de rede (AV:A) — por exemplo, estar na mesma LAN ou Wi‑Fi — e não demanda interação do usuário nem privilégios.
Impacto técnico
- Ambas as CVEs são erros de stack overflow na função de descoberta de dispositivos, permitindo que um atacante envie pacotes malformados para provocar crash ou mau funcionamento do aparelho.
- O vetor (PR:N/UI:N) e as notas de confidencialidade, integridade e disponibilidade (C:H/I:H/A:H) indicam capacidade de causar negação de serviço e potencial compromisso de integridade operacional dos sistemas de vigilância.
Origem e divulgação
CVE-2025-66176 foi reportada por um membro do Cisco Talos; CVE-2025-66177 foi divulgada por pesquisadores independentes Angel Lozano Alcazar e Pedro Guillen Nuñez. A fabricante orienta atualização imediata e fornece firmwares nas páginas de suporte.
Mitigações práticas
- Aplicar os firmwares e patches oficiais disponibilizados pela Hikvision o quanto antes.
- Implementar segmentação de rede para isolar dispositivos de vigilância e impedir acesso LAN‑adjacente por usuários sem necessidade.
- Desabilitar funcionalidades de descoberta/auto‑provisionamento quando não usadas.
- Inventariar dispositivos expostos e escanear rede local com ferramentas como Nmap para identificar serviços vulneráveis.
Riscos operacionais
Dispositivos de vídeo e controle de acesso são frequentemente críticos para operações de segurança física; interrupções indevidas podem causar perda de vigilância e impacto em resposta a incidentes. Relatos históricos e alertas de agências (como CISA em anos anteriores) reforçam que falhas em equipamentos de vigilância exigem prioridade de correção em planos de continuidade.
Limitações das informações públicas
Os comunicados técnicos informam vetores e pontuação CVSS, mas não listam modelos específicos afetados em detalhes públicos expansivos em todas as variantes. Organizações devem consultar a página de advisories da Hikvision para identificar firmware correto para seu modelo.
Referência
Divulgações e recomendações publicadas pela Hikvision e relatórios dos pesquisadores originadores.