---

📋 Panoramica

Campo	Valore
ID CVE	CVE-2026-12485
CVSS v3.1	10.0 (Critico)
CWE	CWE-121
Prodotto interessato	GeoVision GV-I/O Box 4E
Versione interessata	Firmware v2.09
Autenticazione richiesta	No
Interazione utente	Nessuna
Impatto	Esecuzione Remota di Codice

---

🎯 Prodotti interessati

Prodotto	Versione	Stato
GeoVision GV-I/O Box 4E	2.09	Vulnerabile

---

🔍 Dettagli della vulnerabilità

La vulnerabilità risiede nella funzionalità CMD_IP_SET del servizio DVRSearch. Un'operazione memcpy() non sicura copia dati controllati dall'utente in un buffer stack di dimensione fissa senza convalidare la lunghezza dell'input sorgente.

v3 = strlen(g_network_config->ip_addr);
memcpy(&reply_buf[36], g_network_config->ip_addr, v3);

Poiché i limiti del buffer di destinazione non sono applicati, una richiesta appositamente predisposta può innescare un overflow del buffer stack, potenzialmente consentendo a un attaccante di sovrascrivere il flusso di esecuzione ed eseguire codice arbitrario.

---

⚠️ Impatto

Lo sfruttamento riuscito può consentire a un attaccante di:

• Eseguire codice arbitrario da remoto.
• Ottenere il controllo completo del dispositivo.
• Interrompere i sistemi di sicurezza fisica o industriali collegati.
• Stabilire persistenza e muoversi ulteriormente nella rete.

---

📊 Informazioni CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Base Score: 10.0 (Critical)

Metrica	Valore
Vettore d'attacco	Rete
Complessità d'attacco	Bassa
Privilegi richiesti	Nessuno
Interazione utente	Nessuna
Ambito	Modificato
Riservatezza	Alta
Integrità	Alta
Disponibilità	Alta

---

🛡️ Mitigazione

• Identificare tutti i dispositivi con firmware v2.09.
• Limitare l'accesso all'interfaccia di gestione.
• Posizionare i dispositivi dietro un firewall o VPN.
• Evitare di esporre i dispositivi interessati direttamente a Internet.
• Applicare gli aggiornamenti di sicurezza del produttore non appena disponibili.
• Monitorare il traffico di rete per richieste sospette verso DVRSearch.

---

🔎 Raccomandazioni per il rilevamento

• Arresti o riavvii imprevisti del dispositivo.
• Traffico anomalo verso il servizio DVRSearch.
• Richieste ripetute che coinvolgono funzioni di configurazione di rete.
• Segni di modifiche di configurazione non autorizzate.

---

📅 Cronologia

Data	Evento
2026-06-23	Vulnerabilità divulgata pubblicamente
2026-06-23	Identificatore CVE assegnato
2026-06-23	Avviso tecnico rilasciato

---

📚 Riferimenti

• Cisco Talos Security Advisory
• GeoVision Security Advisories
• MITRE CVE Database

---

✅ Output previsto quando lo script funziona

Ecco cosa dovresti vedere quando esegui il checker:

Esecuzione riuscita normale (Servizio rilevato)

$ python3 CVE-2026-12485-check.py 192.168.1.100
============================================================
Safe CVE-2026-12485 (GV-I/O Box 4E DVRSearch) Checker
============================================================
Target: 192.168.1.100:10001
This script does NOT exploit the vulnerability.

[+] Sending safe probe to 192.168.1.100:10001 ...
[+] Received response (XXX bytes) from ('192.168.1.100', 10001)
[+] Service appears active. Response preview: b'\x00\x00...'

============================================================
Recommendation:
- If service responds → Update firmware immediately (GV-IOBOX_2026-06-01).
- Block UDP/10001 from untrusted sources.
- Full advisory: https://talosintelligence.com/vulnerability_reports/TALOS-2026-2377
============================================================

Con l'opzione --length-test

Vedrai righe aggiuntive come:

[+] Performing safe length test (non-crashing)...
    Testing payload size: 54 bytes...
    [+] Size 54 -> Response received (XXX bytes)
    Testing payload size: 104 bytes...
    [+] Size 104 -> Response received (XXX bytes)
    ...

Altri possibili output

Situazione	Cosa vedrai	Significato
Servizio in esecuzione	"Received response"	Il servizio vulnerabile è in ascolto
Nessuna risposta	"No response received (timeout)"	Firewall, servizio fermo o IP errato
Servizio crashato (improbabile)	Lo script si blocca / il target smette di rispondere	Sei andato troppo oltre (non farlo con questo script)
Permesso negato / errore	Socket error	Esegui come root o problema firewall

---

Cosa significa "Funziona"?

• Se vedi "Service appears active" → Il servizio DVRSearch è esposto → Alto rischio di CVE-2026-12485.
• Il dispositivo è probabilmente vulnerabile a meno che non abbia l'ultimo firmware patchato.

Prossimi passi se risponde:

1. Aggiornare immediatamente il firmware da GeoVision.
2. Limitare l'accesso alla porta UDP 10001.
3. Considerare la segmentazione di rete per il dispositivo.

---