CVE-2026-12850: Injeção de Comando do Sistema Operacional no GeoVision GV-I/O Box 4E via libNetSetObj.so
O GeoVision GV-I/O Box 4E 2.09 apresenta falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so, em que valores recebidos pela rede são repassados sem sanitização a chamadas de sistema. O registro descreve um manipulador de endereço de gateway acessível pelo serviço DVRSearch e pelo endpoint Network.cgi, classificado como crítico pelo CNA com pontuação CVSS 3.1 de 9,1. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versão corrigida.
Visão geral
O registro descreve vulnerabilidades de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. Essa biblioteca configura a pilha de rede do dispositivo, incluindo serviços, endereço IP, máscara, gateway e DNS. Segundo a descrição, um pacote de rede especialmente elaborado pode levar à execução de comandos. O manipulador de gateway descrito monta um comando de roteamento a partir de um valor sem sanitização e o repassa a uma chamada de sistema, o que corresponde à classe de fraqueza de injeção de comando (CWE-78).
Impacto
- A pontuação base CVSS 3.1 fornecida pelo CNA é 9,1 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.
- O vetor classifica o impacto em confidencialidade, integridade e disponibilidade como alto, com escopo alterado.
- Se explorada conforme descrito, a execução de comandos no dispositivo permitiria afetar a configuração e os serviços executados por ele. O resultado exato depende dos privilégios obtidos, que o registro não documenta.
Produtos e versões afetadas
- A descrição indica o GeoVision GV-I/O Box 4E 2.09 como afetado.
- A lista estruturada de produtos afetados no registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
- A descrição menciona múltiplas vulnerabilidades, mas apenas uma função (o manipulador de gateway) é detalhada.
Status de exploração
A entrada não consta no catálogo KEV e o registro não traz pontuação EPSS. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- O registro não lista versão corrigida. Consulte a página de segurança do fabricante GeoVision cyber security para verificar atualizações, avisos ou firmware do GV-I/O Box 4E.
- Restrinja o acesso de rede às interfaces de gerenciamento do dispositivo e aos serviços DVRSearch e Network.cgi, permitindo apenas redes administrativas confiáveis.
- Posicione esses equipamentos em redes segmentadas, separadas de segmentos de usuários comuns e de áreas expostas à internet.
- Desative os serviços desnecessários, quando o produto permitir.
- Revise o dispositivo quanto a alterações inesperadas de configuração após qualquer suspeita de acesso.
Orientações de detecção
- Monitore o tráfego para as interfaces de gerenciamento e para o DVRSearch, principalmente de origens fora das faixas administrativas esperadas.
- Acompanhe alterações na configuração de rede do dispositivo, incluindo gateway padrão e entradas de roteamento, e gere alertas para modificações não previstas.
- Quando houver registro de logs disponível, revise requisições incomuns a endpoints de configuração.
- Esses indicadores são de alto nível e dependem dos logs que o dispositivo efetivamente oferece.
Limitações das informações disponíveis
- O registro não informa versão corrigida, patch ou lista de builds de firmware afetados.
- Pontuação EPSS e dados SSVC não estão disponíveis.
- O status da fonte é Deferred, e o registro se baseia nas entradas do CNA e do NVD.
- O vetor CVSS indica que são necessários privilégios altos (PR:H), enquanto a descrição fala em requisição de rede sem mencionar autenticação. O registro não resolve essa diferença.
- O relatório da Talos e a página do fabricante citados não foram analisados além do conteúdo presente no registro.
Perguntas frequentes
O que é a CVE-2026-12850?
Segundo o registro, é um conjunto de falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. O manipulador de gateway descrito repassa dados não sanitizados a uma chamada de sistema.
Há exploração ativa conhecida?
A vulnerabilidade não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Consulte a página do fabricante em geovision.com.tw para orientações atuais sobre o GV-I/O Box 4E.
O que os administradores devem fazer agora?
Restrinja o acesso de rede às interfaces de gerenciamento e aos serviços DVRSearch e Network.cgi, segmente o dispositivo das redes gerais, desative serviços desnecessários e monitore alterações inesperadas de configuração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.