CVE-2026-12851: Injeção de comando do sistema operacional no GeoVision GV-I/O Box 4E via libNetSetObj.so
A CVE-2026-12851 descreve múltiplas falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09, em que valores de configuração como endereços DNS chegam a um comando de shell sem sanitização. O CNA atribui pontuação base CVSS 3.1 de 9.1 (crítica) e classifica o problema como CWE-78. O registro não mostra inclusão no catálogo KEV, exploração confirmada nas fontes consultadas nem versão corrigida.
Visão geral
A CVE-2026-12851 reúne múltiplas falhas de injeção de comando do sistema operacional na biblioteca libNetSetObj.so, usada pelo GeoVision GV-I/O Box 4E 2.09 para configurar a pilha de rede do dispositivo. A função descrita, CNetSetObj::m_F_n_Set_DNS_Addr, repassa valores de servidores DNS a um comando invocado por shell sem sanitização.
Impacto
O registro associa o problema à CWE-78 (injeção de comando do SO). O CNA atribui pontuação base CVSS 3.1 de 9.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, que indica vetor de ataque pela rede, baixa complexidade, sem interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. O vetor também exige privilégios altos (PR:H), o que deve ser considerado em relação à descrição de uma requisição de rede que aciona a falha.
Produtos e versões afetados
- Produto: GeoVision GV-I/O Box 4E, versão 2.09 conforme a descrição.
- Os dados estruturados do registro não listam intervalos de versões afetadas.
- Componentes acessíveis pela rede citados no advisory: o serviço DVRSearch e o endpoint Network.cgi.
Status de exploração
A marcação KEV do registro é falsa, portanto esta CVE não consta como explorada ativamente nas fontes consultadas. O registro não traz valor EPSS, dados SSVC nem associação com ransomware. Nas fontes consultadas não há exploração confirmada.
Correção e mitigação
- Consulte a página de segurança cibernética da GeoVision para orientações do fabricante e eventual atualização de firmware do GV-I/O Box 4E.
- Enquanto uma correção do fabricante não for confirmada, restrinja o acesso às interfaces de gerenciamento e configuração do dispositivo a redes administrativas confiáveis.
- Não exponha o dispositivo, o serviço DVRSearch ou o endpoint Network.cgi diretamente na internet.
- Revise os valores de configuração de rede do dispositivo, incluindo DNS, em busca de entradas inesperadas.
- Analise o relatório de vulnerabilidade da Talos TALOS-2026-2379 para detalhes técnicos e recomendações do pesquisador.
Orientações de detecção
- Monitore alterações inesperadas na configuração do resolvedor DNS do dispositivo.
- Registre e revise requisições ao endpoint Network.cgi e o tráfego para o serviço DVRSearch vindos de origens não confiáveis.
- Gere alertas para processos do dispositivo que iniciem atividade de shell inesperada, quando essa telemetria estiver disponível.
Limitações das informações disponíveis
O registro não contém versões corrigidas, correção confirmada pelo fabricante, intervalos de versões afetadas, dados EPSS ou SSVC, nem detalhes do KEV além de uma marcação negativa. O status da fonte é Deferred. As condições exatas para acionar a falha são conhecidas apenas pela descrição e pelo vetor CVSS.
Perguntas frequentes
A CVE-2026-12851 é explorada ativamente?
O registro não mostra inclusão no KEV e nas fontes consultadas não aparece exploração confirmada. A ausência de dados de exploração não prova que ela não tenha ocorrido.
Existe versão corrigida para o GeoVision GV-I/O Box 4E?
O registro não lista versão corrigida. Consulte a página de segurança cibernética da GeoVision para orientações do fabricante, já que a falta de versão corrigida no registro não significa que não exista correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.