🚨 CVE-2026-12485 - 严重未授权远程代码执行 (RCE)

GeoVision GV-I/O Box 4E – 固件 v2.09

披露日期： 2026年6月23日
CWE： CWE-121 – 基于栈的缓冲区溢出
攻击向量： 网络（未授权）

GeoVision GV-I/O Box 4E 的 DVRSearch 服务中存在一个未授权的基于栈的缓冲区溢出漏洞，允许远程攻击者实现任意代码执行并完全控制受影响的设备。

📋 概述

字段	值
CVE ID	CVE-2026-12485
CVSS v3.1	10.0（严重）
CWE	CWE-121
受影响产品	GeoVision GV-I/O Box 4E
受影响版本	固件 v2.09
是否需要认证	否
用户交互	无
影响	远程代码执行

🎯 受影响产品

产品	版本	状态
GeoVision GV-I/O Box 4E	2.09	存在漏洞

🔍 漏洞详情

该漏洞位于 DVRSearch 服务的 CMD_IP_SET 功能中。一个不安全的 memcpy() 操作将用户可控的数据复制到固定大小的栈缓冲区中，而未验证源输入的长度。

v3 = strlen(g_network_config->ip_addr);
memcpy(&reply_buf[36], g_network_config->ip_addr, v3);

由于未强制检查目标缓冲区边界，精心构造的请求可能触发 栈缓冲区溢出，从而使攻击者能够覆写执行流程并执行任意代码。

⚠️ 影响

成功利用此漏洞可能允许攻击者：

远程执行任意代码。
获得对设备的完全控制。
破坏连接的物理安全或工业系统。
建立持久化并进一步渗透网络。

📊 CVSS 信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
基础分数：10.0（严重）

🛡️ 缓解措施

识别所有运行 v2.09 固件的设备。
限制对管理接口的访问。
将设备置于防火墙或 VPN 之后。
避免将受影响的设备直接暴露在互联网上。
供应商安全更新可用后立即应用。
监控针对 DVRSearch 的可疑请求的网络流量。

🔎 检测建议

设备意外崩溃或重启。
针对 DVRSearch 服务的异常流量。
涉及网络配置功能的重复请求。
未经授权的配置更改迹象。

📅 时间线

日期	事件
2026-06-23	漏洞公开披露
2026-06-23	分配 CVE 标识符
2026-06-23	发布技术公告

📚 参考

Cisco Talos 安全公告
GeoVision 安全公告
MITRE CVE 数据库

✅ 脚本预期输出

运行检查器时应看到以下内容：

正常运行成功（检测到服务）

$ python3 CVE-2026-12485-check.py 192.168.1.100
============================================================
安全 CVE-2026-12485 (GV-I/O Box 4E DVRSearch) 检查器
============================================================
目标: 192.168.1.100:10001
此脚本不会利用该漏洞。

[+] 正在向 192.168.1.100:10001 发送安全探测请求 ...
[+] 收到来自 ('192.168.1.100', 10001) 的响应 (XXX 字节)
[+] 服务似乎活跃。响应预览：b'\x00\x00...'

============================================================
建议：
- 如果服务响应 → 立即更新固件 (GV-IOBOX_2026-06-01)。
- 阻止来自不可信来源的 UDP/10001。
- 完整公告：https://talosintelligence.com/vulnerability_reports/TALOS-2026-2377
============================================================

使用 `--length-test` 选项

你将看到额外的行，例如：

[+] 正在执行安全长度测试（非崩溃性）...
    测试载荷大小：54 字节...
    [+] 大小 54 -> 收到响应 (XXX 字节)
    测试载荷大小：104 字节...
    [+] 大小 104 -> 收到响应 (XXX 字节)
    ...

其他可能的输出

"生效" 意味着什么？

如果你看到 "服务似乎活跃" → DVRSearch 服务已暴露 → 存在高风险 受 CVE-2026-12485 影响。
该设备 很可能存在漏洞，除非已安装最新的修补固件。

如果响应后应采取的下一步措施：

立即从 GeoVision 更新固件。
限制对 UDP 端口 10001 的访问。
考虑对该设备进行网络隔离。

⚖️ 免责声明

此仓库仅用于 教育、研究和防御性安全目的。

未提供任何漏洞利用代码。任何测试仅应针对你拥有明确授权的系统进行。

服务运行中	"收到响应"	易受攻击的服务正在监听
无响应	"未收到响应（超时）"	防火墙、服务已停止或 IP 错误
服务崩溃（不太可能）	脚本挂起 / 目标停止响应	你操作过度（不要用此脚本这样做）
权限被拒绝 / 错误	Socket 错误	需要以 root 身份运行或防火墙问题

攻击向量	网络
攻击复杂度	低
所需权限	无
用户交互	无
影响范围	已变更
机密性	高
完整性	高
可用性	高

CVE-2026-12485

最受欢迎