CISA 标记 Digiever NVR 漏洞已被积极利用，允许远程代码执行

美国网络安全和基础设施安全局 (CISA)将影响 Digiever DS-2105 Pro 网络视频录像机 (NVR) 的安全漏洞添加到其已知利用漏洞 ( KEV ) 目录中，并指出有证据表明该漏洞已被积极利用。

该漏洞编号为CVE-2023-52163（CVSS 评分：8.8），涉及命令注入，允许在身份验证后执行远程代码。

美国网络安全和基础设施安全局 (CISA) 表示：“Digiever DS-2105 Pro 存在授权漏洞，攻击者可能通过 time_tzsetup.cgi 进行命令注入。”

CVE-2023-52163 被添加到 KEV 目录中，是因为 Akamai 和 Fortinet 多次报告称，威胁行为者利用该漏洞传播Mirai和ShadowV2等僵尸网络。

据TXOne Research安全研究员 Ta-Lun Yen 称，由于该设备已达到使用寿命终止 (EoL) 状态，该漏洞以及任意文件读取漏洞 (CVE-2023-52164，CVSS 评分：5.1) 仍未得到修补。

成功利用此漏洞需要攻击者登录设备并执行精心构造的请求。在补丁发布之前，建议用户避免将设备暴露于互联网，并更改默认用户名和密码。

CISA 还建议联邦民事行政部门 (FCEB) 机构在 2025 年 1 月 12 日之前采取必要的缓解措施或停止使用该产品，以保护其网络免受活跃威胁。