🚨 CVE-2026-12485 - Критическое удаленное выполнение кода (RCE) без аутентификации

GeoVision GV-I/O Box 4E – Прошивка v2.09

Дата раскрытия: 23 июня 2026 года
CWE: CWE-121 – Стековое переполнение буфера
Вектор атаки: Сеть (без аутентификации)

---

Уязвимость неаутентифицированного стекового переполнения буфера в сервисе DVRSearch GeoVision GV-I/O Box 4E позволяет удаленным злоумышленникам выполнить произвольный код и полностью скомпрометировать затронутые устройства.

📋 Обзор

🎯 Затронутые продукты

🔍 Детали уязвимости

Уязвимость находится в функциональности CMD_IP_SET сервиса DVRSearch. Небезопасная операция memcpy() копирует контролируемые пользователем данные в стековый буфер фиксированного размера без проверки длины исходных данных.

v3 = strlen(g_network_config->ip_addr);
memcpy(&reply_buf[36], g_network_config->ip_addr, v3);

Поскольку границы буфера назначения не контролируются, специально сформированный запрос может вызвать стековое переполнение буфера, что потенциально позволяет атакующему перезаписать поток выполнения и выполнить произвольный код.

⚠️ Воздействие

Успешная эксплуатация может позволить атакующему:

• Выполнить произвольный код удаленно.
• Получить полный контроль над устройством.
• Нарушить работу подключенных систем физической безопасности или промышленных систем.
• Закрепиться и продвинуться дальше в сети.

📊 Информация CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Base Score: 10.0 (Critical)

🛡️ Смягчение

• Определить все устройства с прошивкой v2.09.
• Ограничить доступ к интерфейсу управления.
• Разместить устройства за брандмауэром или VPN.
• Избегать прямого подключения затронутых устройств к Интернету.
• Применять обновления безопасности от производителя, как только они станут доступны.
• Мониторить сетевой трафик на предмет подозрительных запросов к DVRSearch.

🔎 Рекомендации по обнаружению

• Неожиданные сбои или перезагрузки устройства.
• Аномальный трафик к сервису DVRSearch.
• Повторяющиеся запросы, связанные с функциями конфигурации сети.
• Признаки несанкционированных изменений конфигурации.

📅 Хронология

📚 Ссылки

• Консультация по безопасности Cisco Talos
• Консультации по безопасности GeoVision
• База данных CVE MITRE

✅ Ожидаемый вывод при успешной работе скрипта

Вот что вы должны увидеть при запуске проверки:

Нормальный успешный запуск (сервис обнаружен)

$ python3 CVE-2026-12485-check.py 192.168.1.100
============================================================
Safe CVE-2026-12485 (GV-I/O Box 4E DVRSearch) Checker
============================================================
Target: 192.168.1.100:10001
This script does NOT exploit the vulnerability.

[+] Sending safe probe to 192.168.1.100:10001 ...
[+] Received response (XXX bytes) from ('192.168.1.100', 10001)
[+] Service appears active. Response preview: b'\x00\x00...'

============================================================
Recommendation:
- If service responds → Update firmware immediately (GV-IOBOX_2026-06-01).
- Block UDP/10001 from untrusted sources.
- Full advisory: https://talosintelligence.com/vulnerability_reports/TALOS-2026-2377
============================================================

С опцией --length-test

Вы увидите дополнительные строки, например:

[+] Performing safe length test (non-crashing)...
    Testing payload size: 54 bytes...
    [+] Size 54 -> Response received (XXX bytes)
    Testing payload size: 104 bytes...
    [+] Size 104 -> Response received (XXX bytes)
    ...

Другие возможные выводы

Что означает «Работает»?

• Если вы видите «Service appears active» → Сервис DVRSearch открыт → Высокий риск CVE-2026-12485.
• Устройство вероятно уязвимо, если на нем нет последней исправленной прошивки.

Дальнейшие действия, если ответ получен:

1. Немедленно обновите прошивку от GeoVision.
2. Ограничьте доступ к UDP-порту 10001.
3. Рассмотрите сегментацию сети для устройства.