霍尼韦尔CCTV系统曝严重身份验证绕过漏洞，风险不容忽视

霍尼韦尔CCTV系统被发现严重身份验证绕过漏洞

美国网络安全与基础设施安全局（CISA）近日发布警报，披露霍尼韦尔（Honeywell）多款闭路电视（CCTV）产品中存在严重漏洞。该漏洞编号为CVE-2023-43505，可被威胁行为者利用以绕过身份验证机制，进而获取未授权的视频访问权限或劫持用户账户。该安全公告于2023年10月12日发布，由安全研究人员协调披露。

CVE-2023-43505技术细节

该漏洞影响霍尼韦尔多款CCTV产品，包括：

• Honeywell MAXPRO VMS（视频管理系统）
• Honeywell MAXPRO NVR（网络视频录像机）
• Honeywell HDZ系列摄像机

CVE-2023-43505被归类为身份验证绕过漏洞，CVSS评分高达9.8（严重级别）。攻击者只需通过网络访问目标设备，即可实施以下恶意行为：

• 获取未授权访问权限，查看实时或录制的视频画面
• 劫持高权限用户账户
• 可能篡改摄像机配置或禁用安全监控

霍尼韦尔已确认，该漏洞源于Web管理界面的输入验证不当，攻击者可构造恶意请求绕过身份验证检查。

影响与利用风险

此漏洞对依赖霍尼韦尔CCTV系统进行物理安全防护的组织构成重大威胁，尤其是以下关键基础设施行业：

• 能源与公用事业
• 交通运输
• 制造业
• 政府设施

成功利用该漏洞可能导致：

• 监控中断（如在入侵过程中禁用摄像头）
• 敏感区域被非法监视
• 横向移动至连接的OT/IT网络

截至公告发布，尚无野外攻击活动的报告，但安全专家警告，由于漏洞严重性高，可能很快出现概念验证（PoC）攻击代码。

缓解措施与建议

霍尼韦尔已发布安全补丁修复CVE-2023-43505。组织应立即采取以下措施：

1. 立即更新受影响系统：
   • MAXPRO VMS：升级至5.7.0版本或更高
   • MAXPRO NVR：升级至5.7.0版本或更高
   • HDZ系列摄像机：更新固件至4.10.0版本或更高
2. 隔离CCTV网络，避免与企业IT环境直接连接，降低暴露风险。
3. 监控可疑活动，如未授权登录尝试或配置变更。
4. 限制访问，通过防火墙或VPN保护CCTV管理界面。

CISA已将CVE-2023-43505列入《已知被利用漏洞目录》，强调修复的紧迫性。根据《绑定操作指令（BOD）22-01》，联邦机构需在2023年11月2日前完成修补。

更多详情，请参阅霍尼韦尔官方安全公告或CISA警报（ICSA-23-285-01）。