Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-42369 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-05-04 |
| Producent | GeoVision |
| Produkt | GV-VMS V20 |
| CVSS Score | 10.0 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD
GV-VMS V20 to Video Monitoring Software wykorzystywane do agregowania strumieni z wielu kamer monitoringu i zarządzania innymi urządzeniami bezpieczeństwa. Jest to natywna aplikacja używana lokalnie, jednak istnieje możliwość włączenia zdalnego dostępu poprzez funkcję “WebCam Server”. Po jej aktywacji można uzyskać dostęp do funkcji zarządzania i monitorowania przez standardowy interfejs WWW. Sam webserver jest kolejną natywną aplikacją skompilowaną bez ASLR, co znacząco ułatwia eksploatację i zwiększa prawdopodobieństwo skutecznego ataku.
Większość natywnych komponentów GV-VMS V20 jest podatna na liczne błędy klasy memory corruption, które w połączeniu z brakiem ASLR mogą prowadzić do zdalnego wykonania kodu w kontekście procesu serwera.
Wymagane działania
Niezwłocznie zaktualizuj GeoVision GV-VMS V20 do wersji zawierającej poprawki bezpieczeństwa. Do czasu wdrożenia patcha wyłącz funkcję “WebCam Server” i ogranicz dostęp do aplikacji wyłącznie do lokalnej, zaufanej sieci. Monitoruj instancje GV-VMS pod kątem nietypowego ruchu sieciowego oraz upewnij się, że serwer nie jest eksponowany do internetu.
Kogo dotyczy?
Podatność dotyczy produktu GV-VMS V20 firmy GeoVision. Sprawdź czy Twoja organizacja korzysta z tej aplikacji - zwłaszcza z funkcją “WebCam Server” - i niezwłocznie ogranicz ekspozycję sieciową.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
