רוב רשומות ה-NVD מתארות מה אפשר לעשות עם חולשה. הרשומה הזאת עושה משהו נדיר יותר ואומרת מה כבר נעשה: לצד התיאור הטכני היא מציינת שהחולשה כבר נוצלה בידי תוקפים ושהתקבלו על כך דיווחים. מדובר בדגמי GeoVision שיצאו מתמיכה, שבהם תוקף מהרשת ובלי הזדהות יכול להריץ פקודות מערכת. הציון הוא 9.8.
מה החולשה?
ממשק הניהול של מכשיר משובץ מתרגם לא מעט פעולות לפקודות של מערכת ההפעלה שמתחתיו. הוא לוקח ערך שהמשתמש הזין ומשלב אותו בתוך שורת פקודה. הסכנה נולדת מכך שהשורה הזאת היא טקסט, ובטקסט יש תווים שהמפרש מבין כהוראות ולא כתוכן.
כשהערך שהגיע מבחוץ נכנס לשורה בלי בדיקה, אפשר לסיים בעזרתו את הפקודה המקורית ולהוסיף אחריה פקודה אחרת לגמרי. המכשיר יריץ את שתיהן, כי מבחינתו הן הגיעו מאותו מקום. הרשומה מגדירה כאן בדיוק את זה, הזרקה והרצה של פקודות מערכת שרירותיות, בידי תוקף מרוחק שאינו מזוהה.
הפרט שמבדיל את הרשומה הזאת אינו במנגנון אלא בסיפא שלה. היא אומרת שהניצול כבר קרה ושהגיעו על כך דיווחים, וזה נוסח שאינו מופיע ברוב הרשומות.
מי מושפע?
הרשומה מונה כאן משפחה אחרת של מכשירים: שרתי הווידאו GV-VS11 ו-GV-VS12, לצד GVLX 4 בגרסאות 2.0 ו-3.0 ו-GV-DSP LPR בגרסה 3.0.
שרת וידאו הוא הקופסה שאליה מתחברות מצלמות אנלוגיות כדי שאפשר יהיה לצפות בהן ברשת. מי שהתקין מערכת מצלמות לפני עשור ורצה גישה מרחוק קיבל בדיוק מכשיר כזה, ובישראל הוא עדיין נמצא בעסקים קטנים ובמתקנים שלא החליפו את מערך המצלמות מאז.
המכשיר הזה נמצא בתפר לא נוח: הוא מחובר לאינטרנט כי בשביל זה קנו אותו, והוא כבר לא מקבל תמיכה. שילוב של גישה מהרשת בלי הזדהות עם היעדר עדכון הוא בדיוק מה שהופך מכשיר לפתוח לאורך זמן, ולא ליום אחד.
האם מנוצלת בפועל?
כן, בשתי דרכים בלתי תלויות. הרשומה עצמה כותבת שהחולשה נוצלה ושהתקבלו דיווחים, וב-7 במאי 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-28 במאי 2025.
לאן זה מוביל בפועל אפשר לקרוא בפרסום של Akamai על ניצול פעיל של מכשירי GeoVision בידי רשת בוטים מבוססת Mirai. רשת בוטים אינה מתעניינת בווידאו שלכם. היא מגייסת את המכשיר לחיבור קבוע ולרוחב פס, ומשתמשת בו נגד מטרות אחרות. ההודעה של TWCERT מצורפת גם היא לרשומה.
מכאן נובע משהו לא נוח. מכשיר שנפגע ככה ממשיך להציג תמונה כרגיל, ולכן אין שום סימן שמישהו שם לב אליו.
מה עושים?
1. בדקו אם הדגם שלכם ברשימה: GV-VS11, GV-VS12, GVLX 4 בגרסאות 2.0 ו-3.0, או GV-DSP LPR בגרסה 3.0. אם כן, המשיכו לצעד הבא בהנחה שהמכשיר כבר נגוע, ולא בהנחה שהוא בסדר. הרשומה קובעת שהניצול כבר התרחש.
2. הוציאו את המכשיר מגישה ישירה מהאינטרנט עכשיו, כולל הפניות פורטים שהוגדרו בנתב פעם ונשכחו. זו הפעולה היחידה שמשנה את המצב באופן מיידי, מפני שאין קושחה מתקנת לדגמים האלה.
3. אתחלו את המכשיר להגדרות יצרן והגדירו מחדש סיסמה, ורק אחרי שהוא כבר מנותק מהאינטרנט. זה מסיר שינויים שהוכנסו דרך הפקודות, אם הוכנסו.
4. בדקו בנתב אם המכשיר יוצר תעבורה יוצאת שאינה קשורה לצפייה בווידאו. חיבור קבוע ליעד לא מוכר הוא הסימן המעשי היחיד שיש כאן, כי התמונה עצמה ממשיכה לעבוד גם כשהמכשיר מגויס.
5. תכננו החלפה. דגם שיצא מתמיכה ונמצא בקטלוג המנוצלות לא יחזור להיות בטוח, וכל השאר הוא צמצום נזק בלבד.