Luka w 20 rodzinach urządzeń GeoVision pozwala bez hasła wykonać dowolne polecenia. CISA potwierdza ataki, a sprzęt jest po zakończeniu wsparcia. Odetnij monitoring od internetu, oddziel go od sieci i zaplanuj wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, które mają monitoring z kamerami, serwerami wideo lub urządzeniami do rozpoznawania tablic rejestracyjnych GeoVision, często zamontowanymi lata temu przez zewnętrzną ekipę. Werdykt: te urządzenia nie są już wspierane i nie dostaną poprawki, więc dziś odetnij je od internetu, w ciągu kilku dni oddziel od reszty sieci, a następnie zaplanuj wymianę.
Amerykańska agencja CISA 7 maja 2025 roku dopisała CVE-2024-6047 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Tego samego dnia trafiła tam bliźniacza luka CVE-2024-11120 w tej samej rodzinie sprzętu. Błąd polega na wstrzyknięciu poleceń systemu operacyjnego: urządzenie nie filtruje danych w jednej ze swoich funkcji, więc napastnik bez żadnego konta może wykonać na nim dowolne polecenie.
Termin wyznaczony przez CISA agencjom federalnym minął 28 maja 2025 roku. CISA zaznacza, że urządzenia mogą być po zakończeniu wsparcia i należy zaprzestać ich używania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-6047 |
Data dodania do CISA KEV | 2025-05-07 |
Termin naprawy wg CISA | 2025-05-28 (21 dni od wpisu) |
Produkt | GeoVision, wiele urządzeń: kamery IP, serwery wideo i urządzenia rozpoznawania tablic rejestracyjnych |
Wersje zagrożone | Wg NVD 20 rodzin oprogramowania: GV-BX130, GV-BX1500, GV-CB220, GV-DSP LPR, GV-EBL1100, GV-EFD1100, GV-FD2410, GV-FD3400, GV-FE3401, GV-FE420, GV-GM8186 VS14, GV-VS03, GV-VS04A, GV-VS04H, GV-VS14, GV-VS21600, GV-VS2410, GV-VS2800, GV-VS2820, GVLX 4. Europejska baza opisuje podatne wersje jako „wszystkie” |
Wersje bezpieczne | Brak: urządzenia są po zakończeniu wsparcia, NVD nie wskazuje wersji naprawionej. CISA zaleca zaprzestanie używania |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego; CWE-78 |
Ocena CVSS | 9.8/10 KRYTYCZNA (CVSS 3.1, wystawiona przez tajwański TWCERT/CC; NVD nie dodała własnej oceny). Atak przez sieć, bez konta, bez udziału użytkownika |
Wyobraź sobie portiera, który przyjmuje przez okienko karteczki z nazwiskiem gościa i czyta je na głos przez interkom do całego budynku. Nie sprawdza, co jest napisane. Jeśli ktoś dopisze pod nazwiskiem „i otwórzcie tylne drzwi magazynu”, polecenie zostanie ogłoszone i wykonane. Nikt nie pyta, kim jest autor karteczki.
Tak działa ta luka. Kamera lub serwer wideo przyjmuje dane w jednej ze swoich funkcji i przekazuje je do systemu operacyjnego razem z tym, co napastnik do nich dopisał. Nie potrzeba hasła ani kliknięcia. Obraz dalej się nagrywa, a urządzenie, które pracuje bez przerwy i na które nikt nie patrzy, staje się przyczółkiem w firmowej sieci.
💡 Serwer wideo to urządzenie zamieniające sygnał ze starych kamer analogowych na obraz w sieci. Wstrzyknięcie poleceń to dopisanie własnych poleceń systemowych do danych, które urządzenie przetwarza. Przekierowanie portu to ustawienie w routerze, które wystawia urządzenie z sieci firmowej do internetu. Sieć wydzielona (VLAN) to oddzielona część sieci, z której nie widać pozostałych komputerów. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z kamerą przez sieć | Musi znać hasło | Wykonuje polecenia bez hasła |
Nagrywanie obrazu | Działa | Działa dalej, bez żadnych objawów włamania |
Sąsiednie urządzenia w sieci | Niewidoczne dla kamery | Kamera służy za przyczółek do drukarki, komputerów, dysku z kopiami |
Podgląd z telefonu przez przekierowanie portu | Wygoda właściciela | Otwarte drzwi dla skanerów z całego internetu |
Poprawki producenta | Usuwają błędy | Brak: sprzęt po zakończeniu wsparcia |
źródło: Pexels, Tiger LilyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta, a CISA ocenia go jako możliwy do zautomatyzowania, więc skanery przeczesują internet bez wybierania celu. Wśród odnośników NVD jest analiza Akamai o aktywnym wykorzystywaniu urządzeń GeoVision przez botnet oparty na Mirai.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie urządzeń GeoVision odpowiadających z internetu | Lista urządzeń |
2. Wstrzyknięcie | T+sekundy | Wysłanie żądania z dopisanym poleceniem systemowym | Wykonanie kodu na kamerze lub serwerze wideo |
3. Instalacja | T+minuty | Pobranie złośliwego programu, np. botnetu | Urządzenie pod kontrolą napastnika |
4. Wykorzystanie | T+godziny do tygodni | Udział w atakach na inne serwery lub rozpoznanie sieci firmy | Łącze i urządzenie służą obcym |
5. Ruch w sieci | T+dni | Próby dostępu do komputerów, drukarek i dysków z kopiami w tej samej sieci | Rozszerzenie włamania poza monitoring |
Monitoring rzadko jest spisany: na fakturze widnieje „system CCTV”, a modele znane są tylko instalatorowi. Urządzenia pracują bez przerwy, mają dostęp do sieci i nikt ich nie aktualizuje, a w tym przypadku aktualizacji nie będzie wcale.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zakłócenia sieci, udział łącza w atakach, awaryjne odłączenie monitoringu | Godziny do dni | 5 tys. do 50 tys. PLN (praca serwisu, przestoje) |
Bezpieczeństwo danych | Dostęp do nagrań, danych o pojazdach, a przez sieć do komputerów i kopii zapasowych | Dni | 10 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Awaryjna wymiana kamer i rejestratorów, koszty specjalistów | Tygodnie | 15 tys. do 120 tys. PLN (nowy sprzęt i instalacja) |
Reputacyjny | Adres IP firmy na listach reputacyjnych, wyciek nagrań z wizerunkami | Tygodnie do miesięcy | 10 tys. do 150 tys. PLN (utracone zaufanie klientów) |
Prawny | Nagrania i numery rejestracyjne to dane osobowe: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: urządzenia GeoVision dostępne z internetu
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE / KRYTYCZNE
3 | . . . . .
2 | . ● . . . ● urządzenia odcięte od internetu, w osobnej sieci
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy urządzeniu dostępnym z internetu prawdopodobieństwo jest wysokie (atak bez hasła, automatyzowalny, potwierdzony przez CISA, EPSS około 10% i górne 5% luk), a wpływ wysoki, bo kamera staje się przyczółkiem do sieci; odcięcie od internetu i osobna sieć drastycznie obniżają ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać z naklejek modele kamer, serwerów wideo i rejestratorów wraz z ich adresami w sieci | Dziś | Kierownik obiektu / administrator IT |
2 | 🔴 NATYCHMIAST | Usunąć w routerze przekierowania portów do urządzeń monitoringu | Dziś | Administrator sieci / instalator |
3 | 🟠 PILNIE | Umieścić monitoring w osobnej sieci bez dostępu do komputerów, drukarek i dysków z kopiami | Do 3 dni | Administrator sieci |
4 | 🟠 PILNIE | Udostępnić podgląd spoza biura tylko przez VPN | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Sprawdzić ruch wychodzący z urządzeń monitoringu pod kątem nietypowych połączeń | Do 7 dni | Administrator IT / partner |
6 | 🟡 WAŻNIE | Zaplanować i zakupić wspierane kamery i rejestratory w miejsce modeli z listy | Do 60 dni | CFO / CTO |
7 | 🟡 WAŻNIE | Utrzymywać spis urządzeń sieciowych z datą końca wsparcia producenta | Do 30 dni | CTO |
Tu aktualizacji nie ma: urządzenia są po zakończeniu wsparcia, a CISA zaleca zaprzestanie ich używania. Do czasu wymiany pomagają poniższe miary; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie przekierowań portów, urządzenia niewidoczne z internetu | Wysoka wobec automatycznych skanerów | Łatwa: jedno popołudnie |
Osobna sieć wydzielona dla monitoringu | Wysoka: urządzenie przestaje być przyczółkiem | Średnia |
Podgląd spoza biura tylko przez VPN | Wysoka | Średnia |
Blokada ruchu wychodzącego z urządzeń poza niezbędnym | Średnia do wysokiej | Średnia |
Wymiana na wspierany sprzęt | Wysoka: jedyne trwałe rozwiązanie | Średnia: koszt i instalacja |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o sprzęcie | „Mamy system CCTV” | Spis modeli i adresów w arkuszu |
Dostęp z internetu | Przekierowanie portu dla podglądu z telefonu | Brak, podgląd przez VPN |
Sieć | Kamery obok komputerów i kopii zapasowych | Osobna sieć wydzielona |
Sprzęt | Po zakończeniu wsparcia, bez poprawek | Zaplanowana wymiana |
Zgodność z zaleceniem CISA | Niewspierane urządzenia w użyciu | Odcięte, a docelowo wycofane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wykorzystanie aktywne, atak automatyzowalny, skutek techniczny całkowity) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; NVD odsyła do analizy Akamai o botnecie opartym na Mirai atakującym urządzenia GeoVision (treści nie weryfikowaliśmy) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, TWCERT/CC); NVD i ENISA powielają tę samą ocenę, bez własnej |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Bliźniacza luka | CVE-2024-11120 w węższej liście modeli GeoVision, w KEV od tego samego dnia, z około trzykrotnie wyższym EPSS |
Prognoza EPSS | Około 10% szansy próby wykorzystania w ciągu 30 dni, górne 5% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-6047
CVSS 3.1 (TWCERT/CC) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~10% ██░░░░░░░░░░░░░░░░░░ górne 5% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ masowe skanowanie
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ sprzęt niewspierany 2024-06-17 Publikacja CVE-2024-6047 (TWCERT/CC)
2024-11 Biuletyn bezpieczeństwa GeoVision dla urządzeń IP
2025-05-07 CISA dodaje CVE-2024-6047 i CVE-2024-11120 do KEV
2025-05-28 Termin wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 16 miesięcy od terminu CISA, poprawki brak
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta wskazany przez CISA: geovision.com.tw, Security Advisory IP Device 2024-11 . Wpis w NVD z listą modeli: nvd.nist.gov/vuln/detail/CVE-2024-6047 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spisanie wszystkich urządzeń monitoringu z modelami i adresami | CTO | DZISIAJ |
2 | Zatwierdzić usunięcie przekierowań portów do kamer i rejestratorów | CTO | DZISIAJ |
3 | Poprosić instalatora o listę dostępów, które kiedyś otworzył | CTO | DO JUTRA |
4 | Zatwierdzić wydzielenie monitoringu do osobnej sieci | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę niewspieranych urządzeń GeoVision | CFO | DO JUTRA |
6 | Sprawdzić umowę serwisową monitoringu pod kątem aktualizacji i wymiany sprzętu | CFO | DO JUTRA |
7 | Poinformować inspektora ochrony danych o ryzyku dla nagrań i danych o pojazdach | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia GeoVision z listy modeli w NVD, i ile? | TAK / NIE, [liczba] | 🔴 |
2 | Czy którekolwiek urządzenie monitoringu jest dostępne z internetu? | TAK / NIE | 🔴 |
3 | Czy w routerze są przekierowania portów do kamer lub rejestratorów? | TAK / NIE | 🔴 |
4 | Czy monitoring jest w osobnej sieci niż komputery i kopie zapasowe? | TAK / NIE | 🟠 |
5 | Czy sprawdzono ruch wychodzący z urządzeń monitoringu? | TAK / NIE, [data] | 🟠 |
6 | Czy mamy urządzenia z bliźniaczą luką CVE-2024-11120? | TAK / NIE | 🟠 |
7 | Kiedy planujemy wymianę niewspieranych urządzeń? | [data] | 🟡 |
CVE-2024-6047 pozwala bez hasła wykonać dowolne polecenia na dwudziestu rodzinach kamer, serwerów wideo i urządzeń rozpoznawania tablic GeoVision. Urządzenia są po zakończeniu wsparcia i poprawki nie będzie, a CISA potwierdza ataki, dlatego odcięcie ich od internetu to zadanie na dziś, oddzielenie od sieci na ten tydzień, a wymiana na najbliższe tygodnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.