CVE-2024-11120
GeoVision Devices OS Command Injection Vulnerability
Beschreibung
CVE-2024-11120 ist eine kritische OS Command Injection-Schwachstelle in mehreren End-of-Life (EOL) Geraeten von GeoVision. Nicht authentifizierte Angreifer koennen diese Schwachstelle aus der Ferne ausnutzen, um beliebige Systembefehle auf den betroffenen Geraeten auszufuehren. Die Schwachstelle wird mit dem hoechstmoeglichen CVSS v3.1-Score von 9.8 (CRITICAL) bewertet und erfordert weder Authentifizierung noch Benutzerinteraktion.
Die CISA hat CVE-2024-11120 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Mai 2025. Der EPSS-Score von 66.14 % (98. Perzentil) ist ausserordentlich hoch und zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten Schwachstellen weltweit gehoert. Betroffene GeoVision-Geraete werden aktiv in Mirai-basierte Botnetze eingebunden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| geovision | gv-vs12 firmware | - |
| geovision | gv-vs11 firmware | - |
| geovision | gv-dsp lpr firmware | - |
| geovision | gvlx 4 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.twcert.org.tw/en/cp-139-8237-26d7a-2.html(Third Party Advisory)
- https://www.twcert.org.tw/tw/cp-132-8236-d4836-1.html(Third Party Advisory)
- https://www.akamai.com/blog/security-research/active-exploitation-mirai-geovision-iot-botnet(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-11120(US Government Resource)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2024-11120 basiert auf einer OS Command Injection-Schwachstelle (CWE-78) in mehreren GeoVision-Geraeten. Die betroffenen Geraete validieren Benutzereingaben nicht ausreichend, bevor diese an Betriebssystem-Befehle uebergeben werden. Ein nicht authentifizierter Angreifer kann dadurch beliebige Systembefehle einschleusen und auf dem Geraet ausfuehren.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-11120 sind mit einem CVSS-Score von 9.8 (CRITICAL) maximal schwerwiegend. Der CVSS-Vektor zeigt einen Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), wobei keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich sind — die Schwachstelle ist somit trivial aus der Ferne ausnutzbar. Alle drei Impact-Metriken — Vertraulichkeit, Integritaet und Verfuegbarkeit — sind auf High gesetzt, was eine vollstaendige Uebernahme der betroffenen Geraete ermoeglicht. Der EPSS-Score von 66.14 % im 98. Perzentil bestaetigt die massenhafte Ausnutzung dieser Schwachstelle. Kompromittierte GeoVision-Geraete werden fuer DDoS-Angriffe, Kryptomining und als Sprungbrett fuer weitere Netzwerkangriffe missbraucht. Da die betroffenen Geraete End-of-Life sind, werden keine Sicherheitsupdates mehr bereitgestellt.
Exploit-Reifegrad
CVE-2024-11120 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Mai 2025. Oeffentlicher Exploit-Code ist verfuegbar — Akamai hat in einem detaillierten Research-Blog die aktive Ausnutzung durch Mirai-basierte Botnetze dokumentiert. Der EPSS-Score von 66.14 % (98. Perzentil) ist ausserordentlich hoch und platziert diese Schwachstelle in den Top 2 % der am staerksten ausgenutzten Schwachstellen weltweit. Die Kombination aus fehlender Authentifizierung, Netzwerk-Erreichbarkeit und der Verfuegbarkeit automatisierter Exploit-Tools macht diese Schwachstelle zu einem bevorzugten Ziel fuer IoT-Botnetze.
Behebung
-
Betroffene Geraete ausser Betrieb nehmen: Da die betroffenen GeoVision-Geraete (GV-VS12, GV-VS11, GV-DSP LPR, GVLX 4) den End-of-Life-Status erreicht haben, werden keine Sicherheitsupdates mehr bereitgestellt. Diese Geraete muessen durch unterstuetzte Alternativen ersetzt werden.
-
Sofortige Netzwerkisolierung: Falls ein sofortiger Austausch nicht moeglich ist, isolieren Sie die betroffenen Geraete umgehend in einem separaten VLAN ohne Internetzugang. Blockieren Sie saemtlichen eingehenden Verkehr aus dem Internet zu diesen Geraeten ueber Firewall-Regeln.
-
Kompromittierung pruefen: Untersuchen Sie die betroffenen Geraete auf Anzeichen einer Kompromittierung, insbesondere auf Mirai-Botnet-Indikatoren. Pruefen Sie ungewoehnlichen ausgehenden Netzwerkverkehr, unerklaerete Prozesse und veraenderte Konfigurationen.
-
Netzwerkueberwachung implementieren: Ueberwachen Sie den Netzwerkverkehr der betroffenen Geraete auf verdaechtige Muster wie Command-and-Control-Kommunikation, DDoS-Teilnahme oder laterale Bewegung im Netzwerk.
-
IoT-Sicherheitsstrategie ueberarbeiten: Implementieren Sie einen strukturierten Lebenszyklus-Management-Prozess fuer IoT-Geraete. Stellen Sie sicher, dass End-of-Life-Geraete systematisch identifiziert und ersetzt werden, bevor sie zu Sicherheitsrisiken werden.
Technische Details
CVE-2024-11120 betrifft mehrere End-of-Life-Geraete von GeoVision, darunter die Modelle GV-VS12, GV-VS11, GV-DSP LPR und GVLX 4. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Schwachstelle ohne jegliche Authentifizierung ueber das Netzwerk ausnutzbar ist. Die OS Command Injection entsteht durch fehlende Eingabevalidierung in bestimmten Webinterface-Funktionen der GeoVision-Firmware. Nicht authentifizierte HTTP-Anfragen mit eingebetteten Shell-Befehlen werden direkt an das darunterliegende Linux-Betriebssystem weitergereicht. Angreifer nutzen diese Schwachstelle automatisiert, um Mirai-Botnet-Payloads herunterzuladen und auszufuehren. Da die Geraete typischerweise mit Root-Rechten laufen, erhaelt der Angreifer sofort vollstaendige Kontrolle. Der EOL-Status der betroffenen Geraete bedeutet, dass kein Firmware-Update verfuegbar ist und die Schwachstelle dauerhaft bestehen bleibt.
Häufig gestellte Fragen
Wird CVE-2024-11120 aktiv ausgenutzt?
Ja, CVE-2024-11120 wird aktiv und massenhaft ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Akamai hat dokumentiert, dass betroffene Geraete in Mirai-basierte Botnetze eingebunden werden. Der EPSS-Score von 66.14 % bestaetigt die intensive Ausnutzung.
Welche Produkte sind von CVE-2024-11120 betroffen?
CVE-2024-11120 betrifft die End-of-Life GeoVision-Geraete GV-VS12, GV-VS11, GV-DSP LPR und GVLX 4. Diese Geraete werden nicht mehr mit Sicherheitsupdates versorgt, weshalb ein Austausch die einzige dauerhafte Loesung ist.
Wie behebe ich CVE-2024-11120?
Da die betroffenen Geraete End-of-Life sind, gibt es keinen Patch. Nehmen Sie die Geraete ausser Betrieb und ersetzen Sie sie durch unterstuetzte Alternativen. Falls ein sofortiger Austausch nicht moeglich ist, isolieren Sie die Geraete vollstaendig vom Internet.
Wie schwerwiegend ist CVE-2024-11120?
Mit einem CVSS-Score von 9.8 (CRITICAL) ist dies eine der schwerwiegendsten Schwachstellen. Die fehlende Authentifizierung und Netzwerk-Erreichbarkeit erlauben vollstaendige Geraeteuebernahme. Der EPSS-Score von 66.14 % im 98. Perzentil zeigt massenhafte aktive Ausnutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.