ברשומה הזאת אין גרסה מתקנת, וזה לא בגלל שהיצרן מתמהמה. הדגמים שהיא מסמנת הם מכשירי GeoVision שיצאו מתמיכה, ולפי הרשומה הם אינם מסננים כראוי קלט שמגיע מהמשתמש, כך שפונה מהרשת יכול להריץ עליהם פקודות מערכת בלי להזדהות כלל. הציון הוא 9.8, כמעט המקסימום, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA מאז מאי 2025.
מה החולשה?
הרבה מכשירים משובצים מנהלים את עצמם בעזרת פקודות של מערכת ההפעלה. ממשק הניהול מקבל ערך מהמשתמש, שם אחד, כתובת, מספר, ומרכיב ממנו שורת פקודה שמופעלת על המכשיר. כל עוד הערך הוא באמת מה שציפו לו, זה עובד.
הבעיה היא שלמפרש הפקודות יש תווים עם משמעות משלהם, כאלה שאומרים לו איפה נגמרת פקודה אחת ומתחילה הבאה. מי שמכניס תו כזה לתוך הערך אינו ממלא את השדה, הוא מוסיף פקודה חדשה משלו לשורה. לטכניקה הזאת קוראים OS Command Injection, והתיקון שלה הוא לסנן את הקלט לפני שמשתמשים בו. הרשומה קובעת שכאן הסינון הזה לא נעשה.
מה שהופך את זה לציון של 9.8 הוא צירוף של ארבעה תנאים, וכולם לטובת התוקף: הפנייה מגיעה מהרשת, היא אינה דורשת הזדהות, היא אינה דורשת שמישהו ילחץ על משהו, והתוצאה היא פקודות שרצות על המכשיר. אין כאן תנאי מקל אחד.
מי מושפע?
הרשומה מונה דגמים מכמה משפחות של GeoVision: מצלמות מהסדרות GV-BX130 ו-GV-BX1500, הדגם GV-CB220, וכן GVLX 4 בגרסאות 2.0 ו-3.0 ו-GV-DSP LPR בגרסה 2.0.
המשותף לכולם הוא הגיל. אלה מכשירים מדור קודם, מהסוג שהותקן פעם אחת בכניסה לבניין או בחניון והמשיך לעבוד ברקע בלי שאיש נגע בו. בישראל ציוד מצלמות מהדור הזה עדיין יושב בעסקים, בוועדי בתים ובמתקנים קטנים, בדיוק כי הוא עובד ואין סיבה נראית לעין להחליף אותו.
וזה גם מה שהופך את הדגמים האלה למטרה נוחה. מכשיר שיצא מתמיכה לא יקבל עדכון, ולכן חולשה שנמצאת בו נשארת פתוחה כל עוד הוא מחובר.
האם מנוצלת בפועל?
כן. ב-7 במאי 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-28 במאי 2025.
הרשומה מצרפת את הניתוח של Akamai על ניצול פעיל של מכשירי GeoVision בידי רשת בוטים מבוססת Mirai, וכן את ההודעה של TWCERT על החולשה. הייחוס לרשת הבוטים הוא של Akamai.
מה עושים?
1. קודם כול בררו מה בדיוק מותקן אצלכם. שם הדגם מופיע על גוף המכשיר ובמסך הניהול, והרשימה שברשומה היא הרשימה הרלוונטית: GV-BX130, GV-BX1500, GV-CB220, GVLX 4 בגרסאות 2.0 ו-3.0, ו-GV-DSP LPR בגרסה 2.0.
2. הניחו שלא יגיע עדכון. הרשומה מגדירה את המכשירים האלה כמחוץ לתמיכה ואינה נוקבת בגרסה מתקנת, כך שהמתנה לקושחה חדשה אינה תכנית.
3. נתקו את המכשיר מגישה ישירה מהאינטרנט. אם צריך להגיע אליו מרחוק, עשו זאת דרך VPN בלבד. הרשומה קובעת שאין צורך בהזדהות, ולכן כל מי שמגיע אל המכשיר ברשת נמצא כבר בתוך התנאי.
4. העבירו את המצלמות לרשת נפרדת מזו של המחשבים. פקודות שרצות על מצלמה הן נקודת פתיחה לשאר הרשת, והפרדה מצמצמת את מה שאפשר להגיע אליו משם.
5. אם המכשיר מאבטח משהו שבאמת חשוב, תכננו החלפה ולא הקשחה. ציוד שלא יקבל עוד תיקונים הוא חוב שמצטבר, וכאן כבר ידוע שמנצלים אותו.