Múltiples vulnerabilidades en GV-I/O Box 4E de GeoVision
Fecha de publicación 25/06/2026
Identificador
INCIBE-2026-454
Importancia
5 - Crítica
Recursos Afectados
GV-I/O Box 4E versión 2.09.
Descripción
Philippe Laulheret de Cisco Talos ha reportado un total de 8 vulnerabilidades de severidad crítica en GV-I/O Box 4E de GeoVision. La explotación de estas vulnerabilidades podrían permitir a un atacante remoto, mediante el envío de peticiones de red especialmente manipuladas, provocar desbordamientos de búfer o ejecutar código arbitrario.
Solución
El 28 de abril el fabricante lanzó un parche de seguridad para solucionar esta vulnerabilidad. Se recomienda actualizar el producto a la última versión.
Detalle
- CVE-2026-12485: vulnerabilidad de desbordamiento de búfer en la funcionalidad DVRSearch, un atacante remoto podría enviar una petición de red especialmente manipulada que provoque un desbordamiento de memoria en el campo de configuración de dirección IP, pudiendo causar la ejecución de código arbitrario.
- CVE-2026-12846: vulnerabilidad de desbordamiento de búfer en la funcionalidad DVRSearch, la falta de validación adecuada del campo correspondiente a la máscara de red permite que un atacante remoto envíe datos manipulados que podrían provocar corrupción de memoria y ejecución de código arbitrario.
- CVE-2026-12847: vulnerabilidad de desbordamiento de búfer en la funcionalidad DVRSearch, un atacante remoto podría manipular el valor del campo de puerta de enlace de red para sobrescribir memoria del sistema y ejecutar código arbitrario.
- CVE-2026-12848: vulnerabilidad de desbordamiento de búfer en la funcionalidad DVRSearch, la gestión incorrecta del campo de configuración DNS podría permitir a un atacante remoto provocar un fallo del servicio o ejecutar código arbitrario mediante una petición especialmente diseñada.
- CVE-2026-12486: vulnerabilidad de inyección de comandos del sistema operativo en la biblioteca libNetSetObj.so, un atacante remoto podría enviar valores manipulados en los parámetros de configuración de red, provocando la ejecución de comandos arbitrarios en el dispositivo debido a una validación insuficiente de las entradas.
- CVE-2026-12849: vulnerabilidad de inyección de comandos del sistema operativo en la configuración de máscara de red, un atacante podría enviar una solicitud especialmente diseñada para ejecutar comandos arbitrarios con los privilegios del servicio afectado.
- CVE-2026-12850: vulnerabilidad de inyección de comandos del sistema operativo en la configuración de puerta de enlace, la ausencia de filtrado adecuado de los valores introducidos podría permitir la ejecución remota de comandos mediante peticiones de red manipuladas.
- CVE-2026-12851: vulnerabilidad de inyección de comandos del sistema operativo en la configuración DNS, un atacante remoto podría modificar los valores enviados al sistema y ejecutar comandos arbitrarios debido al uso inseguro de dichos parámetros.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-12485 | Crítica | No | GeoVision |
| CVE-2026-12846 | Crítica | No | GeoVision |
| CVE-2026-12847 | Crítica | No | GeoVision |
| CVE-2026-12848 | Crítica | No | GeoVision |
| CVE-2026-12486 | Crítica | No | GeoVision |
| CVE-2026-12849 | Crítica | No | GeoVision |
| CVE-2026-12850 | Crítica | No | GeoVision |
| CVE-2026-12851 | Crítica | No | GeoVision |
Listado de referencias
Etiquetas
