🚨 CVE-2026-12485 - Execução Remota de Código (RCE) Crítica Não Autenticada

GeoVision GV-I/O Box 4E – Firmware v2.09

Data de Divulgação: 23 de junho de 2026
CWE: CWE-121 – Estouro de Buffer Baseado em Pilha
Vetor de Ataque: Rede (Não Autenticado)

---

Uma vulnerabilidade de estouro de buffer baseado em pilha não autenticada no serviço DVRSearch do GeoVision GV-I/O Box 4E permite que atacantes remotos obtenham execução de código arbitrário e comprometam totalmente os dispositivos afetados.

📋 Visão Geral

🎯 Produtos Afetados

🔍 Detalhes da Vulnerabilidade

A vulnerabilidade reside na funcionalidade CMD_IP_SET do serviço DVRSearch. Uma operação memcpy() insegura copia dados controlados pelo usuário para um buffer de pilha de tamanho fixo sem validar o comprimento da entrada de origem.

v3 = strlen(g_network_config->ip_addr);
memcpy(&reply_buf[36], g_network_config->ip_addr, v3);

Como os limites do buffer de destino não são verificados, uma requisição especialmente criada pode desencadear um estouro de buffer de pilha, potencialmente permitindo que um atacante sobrescreva o fluxo de execução e execute código arbitrário.

⚠️ Impacto

A exploração bem-sucedida pode permitir que um atacante:

• Executar código arbitrário remotamente.
• Obter controle total sobre o dispositivo.
• Interromper sistemas de segurança física ou industriais conectados.
• Estabelecer persistência e mover-se lateralmente na rede.

📊 Informações CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Base Score: 10.0 (Critical)

🛡️ Mitigação

• Identifique todos os dispositivos executando firmware v2.09.
• Restrinja o acesso à interface de gerenciamento.
• Coloque os dispositivos atrás de um firewall ou VPN.
• Evite expor dispositivos afetados diretamente à Internet.
• Aplique as atualizações de segurança do fornecedor assim que estiverem disponíveis.
• Monitore o tráfego de rede em busca de requisições suspeitas direcionadas ao DVRSearch.

🔎 Recomendações de Detecção

• Falhas ou reinicializações inesperadas do dispositivo.
• Tráfego anômalo para o serviço DVRSearch.
• Requisições repetidas envolvendo funções de configuração de rede.
• Sinais de alterações não autorizadas na configuração.

📅 Cronograma

📚 Referências

• Cisco Talos Security Advisory
• GeoVision Security Advisories
• MITRE CVE Database

✅ Saída Esperada Quando o Script Funciona

Veja o que você deve ver ao executar o verificador:

Execução Normal Bem-Sucedida (Serviço Detectado)

$ python3 CVE-2026-12485-check.py 192.168.1.100
============================================================
Safe CVE-2026-12485 (GV-I/O Box 4E DVRSearch) Checker
============================================================
Target: 192.168.1.100:10001
This script does NOT exploit the vulnerability.

[+] Sending safe probe to 192.168.1.100:10001 ...
[+] Received response (XXX bytes) from ('192.168.1.100', 10001)
[+] Service appears active. Response preview: b'\x00\x00...'

============================================================
Recommendation:
- If service responds → Update firmware immediately (GV-IOBOX_2026-06-01).
- Block UDP/10001 from untrusted sources.
- Full advisory: https://talosintelligence.com/vulnerability_reports/TALOS-2026-2377
============================================================

Com a Opção --length-test

Você verá linhas adicionais como:

[+] Performing safe length test (non-crashing)...
    Testing payload size: 54 bytes...
    [+] Size 54 -> Response received (XXX bytes)
    Testing payload size: 104 bytes...
    [+] Size 104 -> Response received (XXX bytes)
    ...

Outras Saídas Possíveis

O Que Significa "Funcionou"?

• Se você vir "Serviço parece ativo" → O serviço DVRSearch está exposto → Alto risco de CVE-2026-12485.
• O dispositivo está provavelmente vulnerável a menos que tenha o firmware corrigido mais recente.

Próximos Passos se Responder:

1. Atualize imediatamente o firmware da GeoVision.
2. Restrinja o acesso à porta UDP 10001.
3. Considere a segmentação de rede para o dispositivo.