CVE-2026-12849: Injeção de comando do sistema operacional no GeoVision GV-I/O Box 4E (libNetSetObj.so)
Múltiplas falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09 podem permitir a execução de comandos por meio de entrada de rede elaborada. O registro classifica o problema como crítico, com pontuação CVSS 3.1 de 9,1, mas não informa a faixa de versões afetadas nem uma versão corrigida. Não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E, versão 2.09. Essa biblioteca cuida da configuração de rede do dispositivo. A função detalhada monta um comando de shell a partir de um valor de máscara de rede, sem sanitização. Segundo o registro, a função é alcançável pelo serviço DVRSearch e pelo endpoint Network.cgi.
Impacto
- O registro afirma que um pacote de rede especialmente elaborado pode levar à execução de comandos no dispositivo.
- A pontuação base CVSS 3.1 de 9,1 (crítica) reflete alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
- O vetor do registro exige privilégios altos (PR:H), o que pode restringir quem consegue acionar a falha. Veja a seção de limitações.
Produtos e versões afetadas
- Produto citado no registro: GeoVision GV-I/O Box 4E, versão 2.09.
- A lista de produtos afetados do registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
- O registro não informa versão corrigida. A ausência de correção listada não significa que ela não exista.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas para esta análise.
Correção e mitigação
- Consulte a página de segurança do fabricante para verificar atualizações de firmware: GeoVision cyber security.
- Consulte o relatório de pesquisa para contexto técnico: Talos TALOS-2026-2379.
- Restrinja o acesso de rede aos serviços de descoberta e configuração. Coloque o dispositivo em segmento isolado e mantenha-o afastado de redes não confiáveis.
- Limite o acesso aos endpoints de configuração web a administradores confiáveis.
- Faça o inventário de todos os dispositivos GV-I/O Box 4E e registre suas versões de firmware.
Orientações de detecção
- Monitore o tráfego de rede para o dispositivo em busca de requisições aos serviços de descoberta e configuração vindas de origens não confiáveis.
- Revise os logs do dispositivo, quando disponíveis, em busca de alterações inesperadas na configuração de rede.
- Gere alertas para conexões de saída incomuns originadas do dispositivo.
Limitações das informações disponíveis
- O registro descreve múltiplas falhas, mas detalha apenas uma função; por isso, o número de vulnerabilidades distintas é desconhecido.
- A faixa de versões afetadas, a versão corrigida e o status de correção do fabricante não constam no registro.
- Dados de EPSS e SSVC não estão disponíveis.
- A descrição menciona acionamento por requisição de rede, enquanto o vetor CVSS indica que são necessários privilégios altos. As condições reais de exploração são desconhecidas.
Perguntas frequentes
A CVE-2026-12849 está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas?
O registro cita o GeoVision GV-I/O Box 4E versão 2.09, mas a lista de versões afetadas está vazia, então a faixa completa é desconhecida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.