Vulnerabilidades de Geovision

Um estouro de buffer baseado em pilha, sem necessidade de autenticacao, existe no vlsvr das GeoVision GV-LPC2011 e GV-LPC2211 na versao V1.12 e anteriores. A vulnerabilidade e causada por validacao insuficiente de tamanho ao processar dados de login remotos. Um atacante remoto pode explorar essa falha enviando dados de login elaborados com entrada excessivamente longa, resultando em corrupcao de memoria, negacao de servico ou, potencialmente, execucao arbitraria de codigo.

Um estouro de buffer baseado em pilha, sem autenticação, existe no ssvr dos GeoVision GV-LPC2011 e GV-LPC2211 V1.12 e anteriores. A vulnerabilidade é causada por verificação de limites insuficiente ao analisar os campos de autenticação Digest do RTSP. Um atacante remoto pode explorar a falha enviando uma requisição RTSP elaborada com dados de autenticação excessivamente longos, resultando em corrupção de memória, negação de serviço ou, potencialmente, execução arbitrária de código.

Uma vulnerabilidade de estouro de buffer baseado em pilha, sem autenticação, existe no ssvr dos produtos GeoVision GV-LPC2011 e GV-LPC2211 V1.12 e anteriores. A falha é causada por verificação insuficiente de limites ao processar dados de autenticação personalizada RTSP. Um atacante remoto pode explorar a vulnerabilidade enviando uma requisição RTSP especialmente criada, resultando em corrupção de memória, negação de serviço ou, potencialmente, execução arbitrária de código.

Uma vulnerabilidade de estouro de buffer baseado em pilha, não autenticada, existe no thttpd nos GeoVision GV-LPC2011 e GV-LPC2211 V1.12 e anteriores. A vulnerabilidade é causada por verificação insuficiente de limites ao processar parâmetros de requisições web em um caminho de requisição específico. Um invasor remoto pode explorar essa vulnerabilidade enviando uma requisição HTTP elaborada com entrada excessivamente longa, resultando em corrupção de memória, negação de serviço ou potencialmente execução arbitrária de código.

Existem múltiplas vulnerabilidades de injeção de comando do sistema operacional na funcionalidade libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. Um pacote de rede especialmente elaborado pode levar à execução de comandos. Um atacante pode enviar uma requisição de rede para acionar essa vulnerabilidade. libNetSetObj.so é uma biblioteca interna usada por diversos binários do dispositivo para configurar a pilha de rede (iniciar e parar vários serviços, configurar IP, máscara de rede, gateway, DNS etc.). CNetSetObj::m_F_n_Set_DNS_Addr command injection A função a seguir pode receber até dois endereços, não realiza sanitização e então chama system. Trata-se de uma clássica vulnerabilidade de injeção de comando. A função é alcançável tanto pelo serviço DVRSearch, exposto na rede, quanto pelo endpoint Network.cgi. Trecho de código do advisório, reproduzido sem alteração: int __fastcall CNetSetObj::m_F_n_Set_DNS_Addr(CNetSetObj *this, char *dns1, char *dns2) { int result; char v5[80]; if ( !dns1 ) result = 0; if ( dns1 ) { sprintf(v5, "/bin/echo nameserver %s > /etc/resolv.conf", dns1); system(v5); if ( dns2 ) { sprintf(v5, "/bin/echo nameserver %s >> /etc/resolv.conf", dns2); system(v5); } return 1; } return result;

Existem múltiplas vulnerabilidades de injeção de comando do sistema operacional na funcionalidade libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. Um pacote de rede especialmente elaborado pode levar à execução de comandos. Um atacante pode enviar uma requisição de rede para acionar essa vulnerabilidade. A libNetSetObj.so é uma biblioteca interna usada por diversos binários do dispositivo para configurar a pilha de rede (iniciar e parar diversos serviços, configurar IP, máscara de rede, gateway, DNS etc.). Comando de injeção em CNetSetObj::m_F_n_Set_Gate_way A função a seguir recebe uma string como endereço de gateway (o registro escreve 'gatewy'), não realiza nenhuma sanitização e chama system. Trata-se de uma injeção de comando clássica. A função é acessível tanto pelo serviço DVRSearch, exposto na rede, quanto pelo endpoint Network.cgi. O trecho de código do registro mostra a assinatura int __fastcall CNetSetObj::m_F_n_Set_Gate_way(const char **this, char *gw, char *dev), que monta comandos de rota com o valor de gateway, marcados no código como string gw controlada pelo atacante, e os passa à função system.

Múltiplas vulnerabilidades de injeção de comando do sistema operacional existem na funcionalidade libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. Um pacote de rede especialmente elaborado pode levar à execução de comandos. Um atacante pode enviar uma requisição de rede para acionar a vulnerabilidade. libNetSetObj.so é uma biblioteca interna usada por vários binários do dispositivo para configurar a pilha de rede (iniciar e parar diversos serviços, configurar IP, máscara de rede, gateway, DNS etc.). Injeção de comando em CNetSetObj::m_F_n_Set_Net_Mask A função a seguir recebe uma string como endereço de máscara de rede, não realiza nenhuma sanitização e chama system. Trata-se de uma injeção de comando clássica. A função é alcançável tanto pelo serviço DVRSearch, exposto na rede, quanto pelo endpoint Network.cgi. A função recebe um ponteiro com o nome da interface e a string da máscara; ela monta um comando de shell com sprintf, usando um formato de ifconfig com a interface e a máscara, e então executa esse comando com system. O valor da máscara é controlado pelo atacante.

GV-I/O Box 4E é um dispositivo embarcado inteligente com 4 entradas e 4 saídas de relé, que pode ser controlado via Ethernet e RS-485. DVRSearch é um serviço executado por padrão no IOBox e que escuta mensagens UDP na porta 10001. Qualquer usuário na rede pode enviar mensagens a esse serviço e interagir com ele. Ao receber uma mensagem UDP, o servidor lê no máximo 1460 bytes para um buffer local, e um ponteiro para esse buffer é armazenado em uma variável global: #### Estouro de pilha no campo DNS O código a seguir é vulnerável a um estouro de pilha controlado pelo atacante: v8 = strlen(g_network_config->dns_addr); memcpy(&reply_buf[248], g_network_config->dns_addr, v8);

O GV-I/O Box 4E é um dispositivo embarcado inteligente com 4 entradas e 4 saídas de relé que pode ser controlado via Ethernet e RS-485. O DVRSearch é um serviço executado por padrão no IOBox que escuta mensagens UDP na porta 10001. Qualquer usuário na rede pode enviar mensagens a esse serviço e interagir com ele. Ao receber uma mensagem UDP, o servidor lê no máximo 1460 bytes para um buffer local, e um ponteiro para o buffer é armazenado em uma variável global: #### Estouro de pilha no campo gateway O código a seguir é vulnerável a um estouro de pilha controlado pelo atacante: v7 = strlen(g_network_config->gateway); memcpy(&reply_buf[216], g_network_config->gateway, v7);

O GV-I/O Box 4E é um dispositivo embarcado inteligente com 4 entradas e 4 saídas de relé, controlável por Ethernet e RS-485. O DVRSearch é um serviço executado por padrão no IOBox que escuta mensagens UDP na porta 10001. Qualquer usuário na rede pode enviar mensagens a esse serviço e interagir com ele. Ao receber uma mensagem UDP, o servidor lê no máximo 1460 bytes para um buffer local, e um ponteiro para o buffer é armazenado em uma variável global: #### Estouro de pilha no campo Net Mask O código a seguir é vulnerável a um estouro de pilha controlado pelo atacante: v6 = strlen(g_network_config->net_mask); memcpy(&reply_buf[184], g_network_config->net_mask, v6);

Existem múltiplas vulnerabilidades de injeção de comando no SO na funcionalidade libNetSetObj.so do GeoVision GV-I/O Box 4E 2.09. Um pacote de rede especialmente elaborado pode levar à execução de comandos. Um atacante pode enviar uma requisição de rede para acionar esta vulnerabilidade. libNetSetObj.so é uma biblioteca interna usada por vários binários do dispositivo para configurar a pilha de rede (iniciar e parar diversos serviços, configurar IP, máscara de rede, gateway, DNS etc.). Injeção de comando do SO em CNetSetObj::m_F_n_Set_IP_Addr A função a seguir recebe uma string como endereço IP, não realiza nenhuma sanitização e chama system. Trata-se de uma injeção de comando clássica. A função é alcançável tanto pelo serviço DVRSearch, exposto na rede, quanto pelo endpoint Network.cgi. O trecho de código mostra a função int __fastcall CNetSetObj::m_F_n_Set_IP_Addr(const char **this, char *ip_addr), que verifica os parâmetros, monta com sprintf um comando de ifconfig concatenando o endereço IP controlado pelo atacante, executa esse comando com system e retorna 1.

O GV-I/O Box 4E é um dispositivo embarcado inteligente com 4 entradas e 4 saídas de relé, que pode ser controlado via Ethernet e RS-485. O DVRSearch é um serviço executado por padrão no IOBox que escuta mensagens UDP na porta 10001. Qualquer usuário da rede pode enviar mensagens a esse serviço e interagir com ele. Ao receber uma mensagem UDP, o servidor lê no máximo 1460 bytes para um buffer local, e um ponteiro para esse buffer é armazenado em uma variável global. #### Estouro de pilha no campo de IP O trecho de código a seguir é vulnerável a um estouro de pilha controlado pelo atacante: a cópia do campo de endereço IP para o buffer de resposta usa como tamanho o comprimento da string de IP armazenada na configuração.

A stack overflow vulnerability exists in the WebCam Server Login functionality of GeoVision GV-VMS V20 20.0.2. A specially crafted HTTP request can lead to an arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger this vulnerability. #### Stack-overflow via unconstrained sscanf The call to `sscanf` at [1] to split the `Buffer` variable into the `username` and `password` variables doesn't limit the size of the extracted content to match the destination buffers' sizes. In this case, if either the username or password decoded from the authorization string exceeds `40` characters (the size the stack variables `username` and `password`) then a stack overflow will occur. The data is controlled by an attacker, but sronger constraints (e.g. no null bytes) may make exploitation harder. A successful attack could lead to full code execution as SYSTEM on the machine running the service.

An insufficient encryption vulnerability exists in the Device Authentication functionality of GeoVision GV-IP Device Utility 9.0.5. Listening to broadcast packets can lead to credentials leak. An attacker can listen to broadcast messages to trigger this vulnerability. When interacting with various Geovision devices on the network, the utility may send privileged commands; in order to do so, the username and password of the device need to be provided. In some instances the command is broadcasted over UDP and the username/password are encrypted using a cryptographic protocol that appears to be derivated from Blowfish. However the symmetric key used for the encryption is also included in the packet, and thus the security of the username/password only relies on the "obscurity" of the encryption scheme. An attacker on the same LAN can listen to the broadcast traffic once an admin user interacts with the device, and decrypt the credentials using their own implementation of the algorithm. With this password the attacker would have full control over the device configuration, allowing them to change its ip address or even reset it to factory default.

A stack overflow vulnerability exists in the WebCam Server Login functionality of GeoVision GV-VMS V20 20.0.2. A specially crafted HTTP request can lead to an arbitrary code execution. An attacker can make an unauthenticated HTTP request to trigger this vulnerability.