TP-Link NVR 安全更新：命令注入漏洞可能导致远程代码执行
内容提要
TP-Link 发布安全公告，警告 VIGI NVR1104H-4P V1 和 VIGI NVR2016H-16MP V2 存在两个严重的命令注入漏洞（CVE-2025-7723 和 CVE-2025-7724），攻击者可执行任意命令。建议用户升级固件以修复这些漏洞。
关键要点
-
TP-Link 发布安全公告，警告 VIGI NVR1104H-4P V1 和 VIGI NVR2016H-16MP V2 存在两个严重的命令注入漏洞。
-
漏洞编号为 CVE-2025-7723 和 CVE-2025-7724，CVSS 评分分别为 8.5 和 8.7 分。
-
攻击者可利用这些漏洞在底层系统上执行任意命令。
-
受影响的固件版本为 VIGI NVR1104H-4P V1：早于 1.1.5 Build 250518，VIGI NVR2016H-16MP V2：早于 1.3.1 Build 250407。
-
CVE-2025-7723 是一个认证后命令注入漏洞，攻击者需拥有有效凭证。
-
CVE-2025-7724 允许未经认证的攻击者利用系统，可能导致设备完全被控制。
-
TP-Link 建议用户升级固件以修复这些漏洞。
延伸解读
漏洞影响分析
TP-Link 的 VIGI NVR 设备存在的命令注入漏洞，尤其是 CVE-2025-7724，允许未经认证的攻击者直接控制设备。这意味着即使用户未使用强密码，设备也可能面临严重风险，尤其是在网络环境不安全的情况下。
固件升级的重要性
TP-Link 强烈建议用户及时升级固件，以修复已知漏洞。未及时更新的设备不仅可能被攻击者控制，还可能导致监控数据被篡改，影响企业安全。因此，用户应定期检查并更新设备固件，以确保安全性。
认证后漏洞的风险
虽然 CVE-2025-7723 需要有效凭证才能利用，但在使用弱密码或共享密码的情况下，攻击者仍然可以通过此漏洞进行攻击。这提醒用户在管理设备时，务必使用强密码并定期更换，以降低被攻击的风险。
延伸问答
TP-Link NVR 存在哪些安全漏洞？
TP-Link NVR1104H-4P V1 和 NVR2016H-16MP V2 存在两个命令注入漏洞，编号为 CVE-2025-7723 和 CVE-2025-7724。
CVE-2025-7723 和 CVE-2025-7724 的 CVSS 评分是多少？
CVE-2025-7723 的 CVSS 评分为 8.5，CVE-2025-7724 的 CVSS 评分为 8.7。
如何修复 TP-Link NVR 的安全漏洞？
用户应将设备升级至 VIGI NVR1104H-4P V1 的固件版本 1.1.5 Build 250518 或 VIGI NVR2016H-16MP V2 的固件版本 1.3.1 Build 250407。
CVE-2025-7723 和 CVE-2025-7724 的攻击方式有什么不同？
CVE-2025-7723 是认证后命令注入漏洞，需要有效凭证，而 CVE-2025-7724 允许未经认证的攻击者利用系统。
这些漏洞可能导致什么后果？
攻击者可能获得底层操作系统的命令行访问权限，导致设备完全被控制、监控数据被篡改或在网络中横向移动。
受影响的固件版本有哪些？
受影响的固件版本为 VIGI NVR1104H-4P V1：早于 1.1.5 Build 250518，VIGI NVR2016H-16MP V2：早于 1.3.1 Build 250407。
