Vulnerabilidades do Geovision GV-VMS V20.0.2

A stack overflow vulnerability exists in the WebCam Server Login functionality of GeoVision GV-VMS V20 20.0.2. A specially crafted HTTP request can lead to an arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger this vulnerability. #### Stack-overflow via unconstrained sscanf The call to `sscanf` at [1] to split the `Buffer` variable into the `username` and `password` variables doesn't limit the size of the extracted content to match the destination buffers' sizes. In this case, if either the username or password decoded from the authorization string exceeds `40` characters (the size the stack variables `username` and `password`) then a stack overflow will occur. The data is controlled by an attacker, but sronger constraints (e.g. no null bytes) may make exploitation harder. A successful attack could lead to full code execution as SYSTEM on the machine running the service.

A stack overflow vulnerability exists in the WebCam Server Login functionality of GeoVision GV-VMS V20 20.0.2. A specially crafted HTTP request can lead to an arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger this vulnerability.

GV-VMS V20 é um Software de Monitoramento de Vídeo usado para reunir os feeds de muitas câmeras de vigilância e gerenciar outros dispositivos de segurança. Ele é uma aplicação nativa acessada localmente, mas também é possível habilitar o acesso remoto por meio do recurso "WebCam Server". Uma vez habilitado, é possível acessar o recurso de gerenciamento e monitoramento por meio de uma interface Web comum. Esse servidor web é outra aplicação nativa, compilada sem ASLR, o que torna a exploração muito mais fácil e provável. A maioria dos recursos exige autenticação antes de ficar acessível e utiliza uma página de login padrão para conceder acesso. No entanto, o endpoint `gvapi` usa seu próprio mecanismo de autenticação por meio de um cabeçalho `HTTP Authorization`. Ele suporta os modos de autenticação `Basic` e `Digest`. #### Estouro de pilha por cópia sem limite de string decodificada em base64 A string `b64decoder` tem tamanho definido dinamicamente, mas é então copiada para a variável de pilha `Buffer` um caractere por vez em [0], e não há verificação de limites. Assim, se a string decodificada for maior que 256 caracteres (o tamanho da variável `Buffer`), ocorre um estouro de pilha. Como os dados podem ser totalmente controlados por um atacante e há ausência de ASLR, essa vulnerabilidade pode ser facilmente explorada para obter execução de código com privilégios de SYSTEM na máquina que executa o serviço.