昨日，网络上流传的一份文件显示，江苏省公安厅要求各地立即进行全面清查海康威视的监控设备。

这份名为《关于立即对全省海康威视监控设备进行全面清查和安全加固的通知》的文件称，江苏省各级公安机关使用的海康威视监控设备“存在严重安全隐患”，“部分设备已经被境外IP地址控制”。据此，文件要求“各地对使用的海康威视设备进行全面清查，并开展安全加固”。

上述文件的等级为“特急·明电”，发电单位为“江苏省公安厅科技信息处”，签批人为“赵明”。公开资料显示，赵明为江苏省公安厅科技处处长；科技处负责对社会公共安全行业、技术防范产品进行监督和管理。

海康威视于2010年登陆深圳中小板，为全球最大的视频监控生产商。公安系统是海康威视的重要客户，其自称“公安视频建设和应用的先进者和探索者”。海康威视具有“平安城市”、“平安乡镇”等多套解决方案。

据《上海证券报》报道，海康威视的相关人员表示，江苏省公安厅所列问题，“是由于客户对初始密码未改导致的安全漏洞”。但安全牛经调查发现，实际上早在去年11月底，安全公司知道创宇的研究团队就对海康威视监控设备的3个漏洞进行了详细的测试和分析。

分析发现，这3个漏洞的“触发点都在RTSP协议的具体实现里”。分别为：CVE-2014-4878，会产生溢出，致使服务崩溃；CVE-2014-4879，可构造头部填充，造成缓冲区溢出；CVE-2014-4880，同样也构造溢出，并执行任意命令。漏洞影响范围为“启用了RTSP（端口554）的设备”。

经知道创宇团队对漏洞验证发现，通过向目标554端口发送恶意构造的有效载荷（payload），导致服务端缓冲区溢出，导致服务崩溃。由于设备默认具有自启动功能，因此利用此次漏洞攻击者可以对监控设备进行DoS攻击。

研究团队在11月28日进行的测试中，在开放了RTSP（即554端口）的58个测试目标中，攻击验证成功的有57个，测试成功率达98.27%。在11月29日进行的测试中，在开放了RTSP的27个测试目标中，验证成功的有25个，测试成功率达92.59%。结合全国范围内开放RTSP端口的海康威视安防设备，可推算出全国大约有30.59%的海康威视安防设备可能受到被攻击的危险。

“安全保障思维应该由外而内，内网边界接入管理应该加强，确保各种终端设备‘先检查，合法合规再入网’，杜绝类似有安全隐患的设备入网，提升内网边界安全的可视可管理，间接降低数据泄露事件发生的可能。”画方科技CEO 刘正海

安全牛评：不合规设备入网被劫持，如果可以对其事先做终端入网前的合规检查，做到“入网必合规，违规必禁止”，此类安全事件是可控的，或者说可以降低发生概率，甚至避免！