„`html
Zusammenfassung
Die CVE-2026-57877 beschreibt eine kritische Format-String-Schwachstelle in der vlsvr-Komponente von GeoVision Netzwerk-Kameras. Die Anfälligkeit betrifft die Modelle GV-LPC2011 und GV-LPC2211 in Version 1.12 und älteren Versionen. Eine unauthentifizierte Remote-Attacke ist ohne weitere Authentifizierung möglich.
Betroffene Systeme
- GeoVision GV-LPC2011 (V1.12 und früher)
- GeoVision GV-LPC2211 (V1.12 und früher)
Alle Netzwerk-basiert bereitgestellten Instanzen dieser Kameras sind gefährdet, sofern der vlsvr-Dienst erreichbar ist.
Technische Details
Die Schwachstelle liegt in der unsachgemäßen Verarbeitung externer Eingabedaten während der Log-Nachrichtenformatierung im Login-Verarbeitungspfad. Format-String-Anfälligkeiten entstehen, wenn Benutzer-Eingaben direkt als Format-String an Funktionen wie printf() übergeben werden.
Exploitationsszenario: Ein Angreifer sendet speziell konstruierte Login-Daten mit Format-String-Sequenzen (z.B. %x, %n) an den vlsvr-Dienst. Dies ermöglicht:
- Offenlegung von Speicherinhalten (Information Disclosure)
- Speicherkorrumpierung durch Schreib-Operationen
- Denial-of-Service durch Absturz des Dienstes
CVSS-Score 8.6: Die hohe Bewertung reflektiert Netzwerkzugriff, fehlende Authentifizierung und kritische Auswirkungen auf Vertraulichkeit und Verfügbarkeit.
Empfohlene Massnahmen
- Sofortmassnahmen: Betroffene Geräte vom Netzwerk isolieren oder vlsvr-Dienst deaktivieren, falls möglich
- Netzwerk-Segmentierung: Zugriff auf Login-Ports beschränken (Firewall-Regeln)
- Monitoring: Logs auf verdächtige Login-Versuche mit Format-String-Sequenzen prüfen
- Firmware-Update: Auf unterstützte Version nach V1.12 aktualisieren (sobald verfügbar)
- Hersteller kontaktieren: GeoVision für Patch-Status anfragen
Bewertung
Diese Schwachstelle stellt ein hohes Risiko dar. Die Kombination aus fehlender Authentifizierung, einfacher Ausnutzbarkeit und kritischen Auswirkungen erfordert umgehende Massnahmen. Der fehlende offizielle Patch verstärkt die Dringlichkeit kompensierender Kontrollen.
„`