Se han identificado dos vulnerabilidades de inyección de comandos que afectan a los videograbadores de red VIGI NVR1104H-4P V1 y VIGI NVR2016H-16MP V2. Ambas tienen un CVSS-v4 de 8,5 y 8,7 respectivamente.
Vulnerabilidades identificadas
Los errores se deben a una validación insuficiente de parámetros en las peticiones CGI del panel de administración. Un atacante puede invocar /cgi-bin/system_mgr.cgi?cmd=… y encadenar comandos con ;, obteniendo control completo del sistema operativo subyacente.
Detalles de las vulnerabilidades
CVE-2025-7723: Inyección de comandos que requiere autenticación. El resultado es la ejecución de órdenes OS como root.
CVE-2025-7724: Inyección de comandos sin necesidad de credenciales. El resultado es el compromiso total del NVR desde la red local.
Versiones afectadas y correcciones
VIGI NVR1104H-4P V1 está afectado por firmware vulnerable < 1.1.5 Build 250518 y seguro 1.1.5 Build 250518.
VIGI NVR2016H-16MP V2 está afectado por firmware vulnerable < 1.3.1 Build 250407 y seguro 1.3.1 Build 250407.
Acciones recomendadas
- Actualizar inmediatamente a las versiones indicadas desde la página oficial de soporte.
- Tras el parche, revocar credenciales y reiniciar todas las sesiones activas.
- Limitar el acceso al puerto de administración mediante listas de control IP o VPN.
- Deshabilitar servicios externos no utilizados (UPnP, FTP, Telnet) y aplicar contraseñas fuertes y únicas.
- Monitorizar los logs del NVR en busca de comandos sospechosos y activar alertas de integridad de firmware.
Riesgos asociados
Acesso remoto no autenticado (CVE-2025-7724) para manipular, borrar o exportar grabaciones de vídeo.
Persistencia y pivote: el NVR comprometido actúa como plataforma para escanear y atacar otros equipos de la LAN.
Secuestro de cámaras IP y alteración de la configuración de vigilancia.
Ejecución de malware (botnets IoT) o uso del procesador para criptominería.