GeoVision EOL devices - OS Command Injection

Vulnerabilidade de OS Command Injection (CWE-78) em dispositivos GeoVision já descontinuados (EOL/EoS) — câmeras IP, LPR e gateways de vídeo. Um atacante remoto e não autenticado injeta comandos de sistema arbitrários através da interface de gerenciamento do dispositivo, obtendo controle total. Importa porque está no catálogo KEV da CISA com exploração confirmada e porque o fornecedor não vai corrigir: os produtos afetados não recebem mais suporte.

A falha é uma injeção de comando de SO clássica (CWE-78): algum campo ou parâmetro processado pela interface web/CGI do dispositivo é passado a uma chamada de sistema sem sanitização adequada, permitindo que caracteres de controle de shell (como `;`, `|`, backticks) encadeiem comandos arbitrários do atacante junto ao comando legítimo. O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que a falha é explorável diretamente pela rede, sem necessidade de autenticação, sem interação do usuário e com baixa complexidade de ataque.

O impacto é total: confidencialidade, integridade e disponibilidade marcadas como High (C:H/I:H/A:H), consistente com execução de comando com privilégios suficientes para controlar o dispositivo por completo — extrair credenciais, alterar configuração, usar o equipamento como pivô de rede ou incorporá-lo a uma botnet.

Nem o advisory do TWCERT/CC nem a entrada do KEV detalham o endpoint ou parâmetro exato vulnerável — a divulgação pública é deliberadamente escassa em detalhes técnicos, típico de falhas em dispositivos IoT sem correção disponível. O advisory oficial da GeoVision (PDF referenciado pela CISA) pode conter mais detalhes, mas seu conteúdo não foi extraído para esta análise.

A exploração ocorre remotamente contra a interface de administração exposta do dispositivo (tipicamente HTTP/HTTPS de gerenciamento), sem necessidade de credenciais. Não há pré-condição de configuração não padrão relatada — o problema está na lógica de processamento de requisições do firmware, que fica exposta por padrão sempre que a interface de gerenciamento é acessível pela rede (incluindo, no cenário mais comum de exploração em massa, exposição direta à internet).

Há exploração ativa confirmada. A GeoVision e o TWCERT/CC declaram ter recebido relatos de exploração antes mesmo da divulgação pública. A pesquisa da Akamai associa esta classe de vulnerabilidade em dispositivos GeoVision a campanhas de recrutamento para botnets IoT baseadas em variantes do Mirai — varredura automatizada da internet buscando dispositivos expostos, seguida de injeção do comando para baixar e executar payload malicioso. A CISA adicionou a CVE ao catálogo KEV em maio de 2025, exigindo remediação por agências federais até 28/05/2025, com a orientação padrão de aplicar mitigação do fornecedor ou descontinuar o uso — não recomendação de patch, porque não existe.

A descoberta foi reportada por Piotr Kijewski, da Shadowserver Foundation, cujo trabalho de varredura de internet costuma detectar exatamente esse tipo de exposição em massa de dispositivos EOL.

Não existe correção. A GeoVision e o TWCERT/CC afirmam explicitamente que os produtos afetados (GV-DSP_LPR_V3, GVLX 4 V2, GVLX 4 V3, GV-VS11, GV-VS12) estão em fim de vida e não recebem mais atualizações de firmware. A recomendação oficial do fornecedor e da CISA é substituir o equipamento.

Se a substituição imediata não for viável, o paliativo real é isolar completamente o dispositivo da rede: removê-lo de qualquer exposição direta à internet, colocá-lo em VLAN segregada sem rota para redes de gestão ou produção, e restringir acesso à interface de administração a uma lista fechada de IPs confiáveis via firewall. Isso reduz a superfície de ataque mas não elimina o risco de um atacante já dentro da rede interna.

O que não funciona: trocar apenas a senha padrão ou desabilitar contas de usuário não mitiga nada, porque a falha é pré-autenticação — não exige credencial alguma. Regras de WAF genéricas contra injeção de comando podem reduzir o risco de exploração automatizada (scanners de botnet), mas não é mitigação garantida sem conhecer o payload e o endpoint exato, que não foram publicados.

Não há assinatura ou IOC público e detalhado divulgado nas fontes oficiais (TWCERT/CC e CISA não publicam o payload ou endpoint exploravel). Como indício indireto, a associação feita pela Akamai entre esta classe de vulnerabilidade em dispositivos GeoVision e atividade de botnet Mirai sugere monitorar: requisições HTTP anômalas para a interface de gerenciamento do dispositivo contendo metacaracteres de shell, picos de tráfego de saída do dispositivo para IPs/portas não usuais (indicativo de enrolamento em C2), e reinicializações ou processos desconhecidos no dispositivo, se houver telemetria local disponível. Na ausência de assinatura oficial, qualquer dispositivo desses modelos acessível pela internet deve ser tratado como comprometido até prova em contrário.