海思半导体是全球领先的Fabless半导体和IC设计公司，致力于向包含视频监控、机顶盒、智能家庭等领域的全球设备商提供全面的联接和多媒体芯片解决方案。

视频监控设备漏洞响应可能涉及漏洞研究组织/个人、芯片供应商、组件供应商、设备商和最终用户等各利益相关方，需要清晰认识到供应链的复杂性，其中的任意一环都会引入漏洞，这也增大了漏洞响应的难度，协调式漏洞披露是解决这种场景下业界最佳实践。海思作为视频监控设备供应链中的重要一环，愿意联合产业链的利益相关人，通过协调的漏洞披露共同应对漏洞带来的网络安全风险，保护最终用户的利益。

海思关注到2020年9月16日部分媒体报道基于Hisilicon HI3520DV400视频监控芯片的DVR/NVR设备中的安全漏洞：CVE-2020-24214, CVE-2020-24215, CVE-2020-24216, CVE-2020-24217, CVE-2020-24218, CVE-2020-24219 。海思第一时间对报告中提到的安全问题进行了调查并将我们的调查结果提供如下。

该漏洞并非由海思提供的芯片及SDK包引入

海思为客户（设备制造商）提供芯片、操作系统内核（如某个版本的Linux kernel）、以及配套的SDK（以驱动为主）开发平台，设备制造商基于海思的平台，进行具体产品的设计和开发。海思芯片在整个设备中的逻辑示意如下：

                                                                                                    图 1-1

上图中蓝色部分为海思提供。而绿色为开源代码，由海思作为参考代码提供给设备商，橙色部分由设备商进行交付。

研究者提到的安全漏洞分析如下：

1. Full administrative access via backdoor password (CVE-2020-24215)：文中描述的可执行程序box.v400_hdmi属于设备商应用（图1-1中橙色部分），海思SDK包中不包含该功能。
2. Administrative root access via telnet (CVE-2020-24218)：海思SDK包中，默认不会启动任何网络服务，不会设置任何账号及相关密码。同时，海思将“二次开发网络安全注意事项”文档随软件包提供给设备商，文档中建议在产品的最终量产版本中增加权限管理与安全配置功能。
3. Arbitrary file read via path traversal (CVE-2020-24219)：通过web服务对外提供文件操作服务，属于设备商应用（图1-1中橙色部分），海思SDK包中不包含该功能。

1. Unauthenticated file upload 、Arbitrary code execution by uploading malicious firmware 、Arbitrary code execution via command injection (CVE-2020-24217)：升级功能是设备厂商根据产品应用场景提供的能力，属于设备商应用（图1-1中橙色部分），海思SDK包中不包含该功能。
2. Denial of service via buffer overflow (CVE-2020-24214)：应用程序代码中使用的sprintf函数存在内存溢出漏洞，导致box.v400_hdmi拒绝服务。这部分代码属于设备商应用（图1-1中橙色部分），海思SDK包中不包含该代码。
3. Unauthorized video stream access via RTSP (CVE-2020-24216)：通过RTSP服务对外提供视频流业务，属于设备商应用（图1-1中橙色部分），海思SDK包中不包含该功能。

综上分析，以上漏洞都存在于设备商应用（图1-1中橙色部分）中，这些漏洞并非由海思提供的芯片及SDK包引入。

对于文章中提到的漏洞，海思作为视频监控设备供应链中的重要一环，愿意联合下游厂商和研究者，通过协同来应对漏洞带来的网络安全风险，保护最终用户的利益。