CVE-2024-6047
GeoVision Devices OS Command Injection Vulnerability
Beschreibung
CVE-2024-6047 ist eine kritische OS Command Injection-Schwachstelle in zahlreichen End-of-Life (EOL) Geraeten von GeoVision. Nicht authentifizierte Angreifer koennen die Schwachstelle aus der Ferne ausnutzen, um beliebige Systembefehle auf den betroffenen Geraeten auszufuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (CRITICAL) bewertet und betrifft ueber 20 verschiedene GeoVision-Produktmodelle.
Die CISA hat CVE-2024-6047 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 28. Mai 2025. Der EPSS-Score von 72.97 % (99. Perzentil) ist einer der hoechsten ueberhaupt und zeigt massenhafte aktive Ausnutzung. Die Schwachstelle wird gemeinsam mit CVE-2024-11120 aktiv von Mirai-basierten Botnetzen ausgenutzt, um GeoVision-Geraete fuer DDoS-Angriffe zu rekrutieren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| geovision | gv-dsp lpr firmware | - |
| geovision | gv-bx130 firmware | - |
| geovision | gv-bx1500 firmware | - |
| geovision | gv-cb220 firmware | - |
| geovision | gv-ebl1100 firmware | - |
| geovision | gv-efd1100 firmware | - |
| geovision | gv-fd2410 firmware | - |
| geovision | gv-fd3400 firmware | - |
| geovision | gv-fe3401 firmware | - |
| geovision | gv-fe420 firmware | - |
| geovision | gv-gm8186 vs14 firmware | - |
| geovision | gv-vs14 firmware | - |
| geovision | gv-vs03 firmware | - |
| geovision | gv-vs2410 firmware | - |
| geovision | gv-vs21600 firmware | - |
| geovision | gv-vs04a firmware | - |
| geovision | gv-vs04h firmware | - |
| geovision | gvlx 4 firmware | - |
| geovision | gv-vs2800 firmware | - |
| geovision | gv-vs2820 firmware | - |
Referenzen
- https://www.twcert.org.tw/en/cp-139-7884-c5a8b-2.html(Third Party Advisory)
- https://www.twcert.org.tw/tw/cp-132-7883-f5635-1.html(Third Party Advisory)
- https://www.akamai.com/blog/security-research/active-exploitation-mirai-geovision-iot-botnet(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-6047(US Government Resource)
Schwachstellentyp
CWE-78: OS Command Injection
CVE-2024-6047 basiert auf einer OS Command Injection-Schwachstelle (CWE-78) in mehreren GeoVision-Geraeten. Die betroffene Firmware filtert Benutzereingaben fuer bestimmte Funktionalitaeten nicht ordnungsgemaess, wodurch ein nicht authentifizierter Angreifer Shell-Befehle in HTTP-Anfragen einschleusen und auf dem darunterliegenden Betriebssystem ausfuehren kann.
Mehr erfahren: CWE-78 — OS Command Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-6047 sind mit einem CVSS-Score von 9.8 (CRITICAL) maximal schwerwiegend. Der Netzwerk-Angriffsvektor (AV:N) mit niedriger Komplexitaet (AC:L), ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) macht die Schwachstelle trivial aus der Ferne ausnutzbar. Alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Uebernahme der Geraete ermoeglicht. Mit einem EPSS-Score von 72.97 % im 99. Perzentil gehoert diese Schwachstelle zu den Top 1 % der am staerksten ausgenutzten Sicherheitsluecken weltweit. Die breite Palette von ueber 20 betroffenen GeoVision-Produktmodellen — darunter Videoserver, Kameras und LPR-Systeme — vergroessert die Angriffsflaeche erheblich. Kompromittierte Geraete werden in Botnetze eingebunden und fuer grossangelegte DDoS-Angriffe, Kryptomining und Netzwerkaufklaerung missbraucht.
Exploit-Reifegrad
CVE-2024-6047 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt, mit einer Behebungsfrist bis zum 28. Mai 2025. Oeffentlicher Exploit-Code ist verfuegbar — Akamai hat die aktive Ausnutzung durch Mirai-basierte Botnetze in einem detaillierten Research-Artikel dokumentiert. Der EPSS-Score von 72.97 % (99. Perzentil) ist einer der hoechsten beobachteten Werte und platziert diese Schwachstelle in den Top 1 % der am intensivsten ausgenutzten Schwachstellen. CVE-2024-6047 wird haeufig gemeinsam mit der verwandten Schwachstelle CVE-2024-11120 ausgenutzt, da beide die gleiche Angriffsflaeche in GeoVision-Geraeten betreffen. Die automatisierte Ausnutzung durch Botnetze bedeutet, dass exponierte Geraete innerhalb von Stunden nach Erkennung kompromittiert werden.
Behebung
-
Betroffene Geraete sofort ausser Betrieb nehmen: Alle betroffenen GeoVision-Geraete (GV-DSP LPR, GV-BX130, GV-BX1500, GV-CB220, GV-EBL1100, GV-EFD1100, GV-FD2410, GV-FD3400, GV-FE3401, GV-FE420, GV-VS03, GV-VS04A, GV-VS04H, GV-VS14, GV-VS2410, GV-VS21600, GV-VS2800, GV-VS2820, GVLX 4 und weitere) haben den End-of-Life-Status erreicht und erhalten keine Sicherheitsupdates mehr. Der Austausch ist die einzige dauerhafte Loesung.
-
Sofortige Netzwerkisolierung: Trennen Sie die betroffenen Geraete umgehend vom Internet. Konfigurieren Sie Firewall-Regeln, die jeglichen eingehenden Verkehr aus dem Internet zu diesen Geraeten blockieren. Isolieren Sie die Geraete in einem dedizierten VLAN.
-
Forensische Untersuchung: Pruefen Sie alle exponierten GeoVision-Geraete auf Kompromittierungsindikatoren, insbesondere Mirai-Botnet-Artefakte. Analysieren Sie Netzwerk-Logs auf verdaechtige ausgehende Verbindungen zu bekannten Command-and-Control-Servern.
-
Asset-Inventar aktualisieren: Identifizieren Sie saemtliche GeoVision-Geraete im Netzwerk und dokumentieren Sie deren EOL-Status. Erstellen Sie einen Zeitplan fuer den Austausch aller nicht mehr unterstuetzten Geraete.
-
Netzwerksegmentierung implementieren: Betreiben Sie IoT- und Ueberwachungsgeraete grundsaetzlich in separaten Netzwerksegmenten mit strenger Zugriffskontrolle und ohne direkten Internetzugang.
Technische Details
CVE-2024-6047 betrifft ueber 20 verschiedene End-of-Life-Geraetemodelle von GeoVision, darunter Videoserver, IP-Kameras und Kennzeichenerkennungssysteme. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Schwachstelle ohne Authentifizierung ueber das Netzwerk mit niedriger Komplexitaet ausnutzbar ist. Die betroffenen Geraete versagen bei der ordnungsgemaessen Filterung von Benutzereingaben fuer bestimmte Webinterface-Funktionen. Nicht authentifizierte HTTP-Anfragen mit eingeschleusten Shell-Befehlen werden direkt vom darunterliegenden Linux-Betriebssystem interpretiert und ausgefuehrt. Die Firmware der betroffenen Geraete fuehrt keine Eingabebereinigung oder Parametrisierung von Betriebssystemaufrufen durch. Da die Geraete typischerweise mit Root-Rechten betrieben werden, erlangt der Angreifer sofort vollstaendige Kontrolle. Die grosse Anzahl betroffener Modelle deutet auf einen gemeinsamen, anfaelligen Code-Pfad in der GeoVision-Firmware-Basis hin.
Häufig gestellte Fragen
Wird CVE-2024-6047 aktiv ausgenutzt?
Ja, CVE-2024-6047 wird aktiv und massenhaft ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Akamai hat die Einbindung betroffener Geraete in Mirai-Botnetze dokumentiert. Der EPSS-Score von 72.97 % im 99. Perzentil bestaetigt die massenhafte Ausnutzung.
Welche Produkte sind von CVE-2024-6047 betroffen?
CVE-2024-6047 betrifft ueber 20 GeoVision-Geraetemodelle, darunter GV-DSP LPR, GV-BX130, GV-BX1500, GV-CB220, GV-EBL1100, GV-EFD1100, GV-FD2410, GV-VS14, GV-VS2410, GVLX 4 und weitere. Alle betroffenen Geraete haben den End-of-Life-Status erreicht.
Wie behebe ich CVE-2024-6047?
Da alle betroffenen Geraete End-of-Life sind, existiert kein Sicherheitsupdate. Die Geraete muessen ausser Betrieb genommen und durch unterstuetzte Modelle ersetzt werden. Als Sofortmassnahme sollten die Geraete vom Internet getrennt und in isolierten Netzwerksegmenten betrieben werden.
Wie schwerwiegend ist CVE-2024-6047?
Mit einem CVSS-Score von 9.8 (CRITICAL) gehoert diese Schwachstelle zu den schwerwiegendsten ueberhaupt. Keine Authentifizierung, Netzwerk-Erreichbarkeit und vollstaendige Geraeteuebernahme machen sie extrem gefaehrlich. Der EPSS-Score von 72.97 % zeigt, dass sie zu den Top 1 % der am intensivsten ausgenutzten Schwachstellen gehoert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.