Urządzenie GeoVision GV-I/O Box 4E jest podatne na stack overflow w usłudze DVRSearch nasłuchującej na porcie UDP 10001. Luka o maksymalnym wyniku CVSS 10.0 pozwala nieuwierzytelnionemu atakującemu w sieci na przejęcie pełnej kontroli nad urządzeniem.
▸ Pokaż oryginał (EN)
GV-I/O Box 4E is a smart embedded device with 4 input and 4 relays output that can be controlled over Ethernet and RS-485. DVRSearch is a service running by default on the IOBox listening for UDP messages on port 10001. Any user on the network can send messages to this service and interact with it. Upon receiving a UDP message, the server reads at most 1460 bytes into a local buffer and a pointer to the buffer is stored in a global variable: #### DNS field stack overflow The following code is vulnerable to a stack overflow that is attacker-controlled: v8 = strlen(g_network_config->dns_addr); memcpy(&reply_buf[248], g_network_config->dns_addr, v8);
Usługa DVRSearch domyślnie uruchomiona na urządzeniu przyjmuje pakiety UDP od dowolnego użytkownika w sieci bez uwierzytelnienia. Po odebraniu wiadomości serwer odczytuje do 1460 bajtów do lokalnego bufora, a wskaźnik do niego zapisywany jest w zmiennej globalnej. Podatność wynika z niekontrolowanego kopiowania danych — wartość pola DNS z konfiguracji sieciowej jest kopiowana funkcją memcpy do bufora odpowiedzi bez weryfikacji długości, co prowadzi do przepełnienia bufora na stosie (stack buffer overflow, CWE-121) kontrolowanego przez atakującego.
Atakujący bez żadnych uprawnień i bez interakcji użytkownika może zdalnie wykonać dowolny kod (RCE) w kontekście urządzenia, co w praktyce oznacza pełne przejęcie kontroli nad urządzeniem, jego wejściami i wyjściami przekaźnikowymi.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://www.geovision.com.tw/cyber_security.php). Do czasu aktualizacji zaleca się izolację urządzenia od niechronionych segmentów sieci, blokowanie dostępu do portu UDP 10001 na poziomie firewall oraz ograniczenie dostępu sieciowego wyłącznie do zaufanych hostów.
Urządzenie GeoVision GV-I/O Box 4E — konkretne wersje oprogramowania wskazane w referencjach producenta i raporcie Talos.
Podatność została zgłoszona przez Cisco Talos (raport TALOS-2026-2377). Wektor ataku sieciowy, brak wymaganych uprawnień i brak konieczności interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) przy zakresie zmienionym (S:C) składają się na maksymalny wynik CVSS 10.0.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H