CVE-2026-12849

GeoVision GV-I/O Box 4E 2.09 sürümünün libNetSetObj.so işlevselliğinde birden fazla OS komut enjeksiyonu zafiyeti bulunmaktadır. Özel olarak hazırlanmış bir ağ paketi, komut çalıştırılmasına yol açabilir. Bir saldırgan, bu zafiyeti tetiklemek için bir ağ isteği gönderebilir. `libNetSetObj.so`, cihazdaki çeşitli ikili dosyalar tarafından ağ yığınını yapılandırmak (çeşitli servisleri başlatmak ve durdurmak, IP, Netmask, gateway, dns vb. yapılandırmak) için kullanılan dahili bir kütüphanedir. #### CNetSetObj::m_F_n_Set_Net_Mask komut enjeksiyonu Aşağıdaki fonksiyon, bir dizeyi net mask adresi olarak alır, üzerinde herhangi bir temizleme işlemi yapmaz ve `system` fonksiyonunu çağırır. Bu, klasik bir komut enjeksiyonu zafiyetidir. Fonksiyona hem ağa açık olan `DVRSearch` servisi hem de `Network.cgi` uç noktası üzerinden erişilebilir. int __fastcall CNetSetObj::m_F_n_Set_Net_Mask(const char **this, char *netmask_addr) { bool v2; // zf char v4[72]; // [sp+0h] [bp-48h] BYREF v2 = *this == 0; if ( *this ) v2 = netmask_addr == 0; if ( v2 ) return 0; sprintf(v4, "/sbin/ifconfig %s netmask %s", *this, netmask_addr); // saldırgan kontrollü netmask_addr system(v4); return 1; }