漏洞预警 | 雄迈云服务器内置硬编码账户漏洞（CVE-2018-17919）

2018年10月12日，白帽汇安全研究院监测到网络上出现了最新雄迈云XMeye P2P云服务器出现内置硬编码账户漏洞。该漏洞是由于服务器被硬编码写入默认的的账户和密码，导致任意攻击者只需通过浏览器访问服务器的web管理页面，输入默认的账户和密码，即可接管设备。

杭州雄迈信息技术有限公司是中国知名的安防监控提供商。自从2009年初成立以来，经多年发展，已成长为员工总人数近3000人，研发人员600多人，拥有土地总面积超过100亩的超大公司。而此次爆出漏洞的云服务器并不是雄迈对外销售的单独产品，而是安防监控设备的必要组件，因此，所有暴露在外网的安防设备均有可能被该漏洞所影响。

雄迈在全球占据极大市场

雄迈的安防监控虽然占据全球巨大安防市场，但其从以前就不断爆出各种高危漏洞，包括文件泄露，弱密码，溢出漏洞等。而且由于其产品覆盖面极大，即使是低威漏洞，也会造成巨大的影响。此次漏洞设计设备极多，官方还未发布补丁，预计在今后的很长的一段时间将会对国际安防视频监控市场造成巨大冲击。

2015年就曾爆出高危漏洞，影响大量设备

概况

雄迈公司主打安防监控模组、主板、配套软件以及产品解决方案，包括：AHD同轴高清模组及主板、网络高清模组及主板、AHD/网络一体机芯、自动聚焦模组、消费类QQ物联模组，CMS、VMS、SNVR、myeye监控平台软件、云服务等等。一直以来雄迈力求完美、关注产量、苛求质量，产品具备高兼容性、高清晰度、高性价比、高行业性和高体验度。雄迈的产品和解决方案已经应用到全球各地，为安防行业众多厂家提供服务。

目前FOFA系统最新数据（一年内数据）显示全球范围内共有925732个雄迈的设备。越南使用数量最多，共有230109台，俄罗斯第二，共有59634台，英国第三，共有47827台，巴西第四，共有45611台，土耳其第五，共有43549台。白帽汇安全研究院抽样检测发现全球存在该硬编码密码漏洞的比例为百分之5.2。需要注意的是，还有很多处于内网的设备网站并不能统计的到。