Krytyczna luka OS Command Injection w GeoVision GV-I/O Box 4E 2.09

Co wiadomo

W GeoVision GV-I/O Box 4E 2.09 wykryto krytyczne podatności typu OS command injection w bibliotece libNetSetObj.so, umożliwiające zdalne wykonanie poleceń systemowych poprzez specjalnie spreparowany pakiet sieciowy. Luka dotyczy funkcji konfigurującej adres IP, która nie sanitizuje danych wejściowych.

Wpływ biznesowy

Atakujący może zdalnie wykonać dowolne polecenia systemowe na urządzeniu, co może prowadzić do przejęcia kontroli nad systemem, zakłócenia działania usług sieciowych oraz potencjalnego dostępu do poufnych danych. Operatorzy infrastruktury powinni traktować tę lukę jako krytyczną ze względu na wysokie ryzyko naruszenia bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek od producenta GeoVision. W międzyczasie ograniczyć dostęp do usług sieciowych DVRSearch i Network.cgi tylko do zaufanych sieci, monitorować logi pod kątem podejrzanej aktywności oraz stosować mechanizmy zapobiegania wstrzyknięciu poleceń. Priorytetowo traktować wdrożenie zabezpieczeń i segmentację sieci.

Źródła

• NVD
• Reference
• Reference