Urządzenia GeoVision po końcu wsparcia pozwalają każdemu z sieci wykonać polecenia bez hasła, a poprawki nie będzie. CISA potwierdza ataki i zaleca wycofanie sprzętu. Odetnij urządzenia od internetu i zaplanuj wymianę.
Ten alert jest dla zarządu, CTO i CFO firm, wspólnot i zarządców nieruchomości, które mają monitoring lub odczyt tablic rejestracyjnych na urządzeniach GeoVision. Werdykt: jeśli używasz GV-VS12, GV-VS11, GV-DSP LPR V3 lub GVLX 4 V2 albo V3, odetnij je od internetu dziś i zaplanuj wymianę, bo poprawki nie będzie, a luka pozwala każdemu przejąć urządzenie bez hasła i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 7 maja 2025 roku dopisała podatność CVE-2024-11120 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy kilku urządzeń GeoVision (serwery wideo, moduł odczytu tablic rejestracyjnych) po końcu wsparcia producenta. Napastnik z sieci, bez logowania, może wstrzyknąć i wykonać na urządzeniu dowolne polecenia systemowe.
Tajwański zespół reagowania TWCERT/CC, który nadał numer, zaznaczył już w listopadzie 2024 roku, że luka była wykorzystywana. CISA zaleca zaprzestanie używania tych urządzeń, bo mogą być po końcu życia lub wsparcia. Termin wyznaczony agencjom federalnym minął 28 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-11120 (baza europejska: EUVD-2024-33664) |
Data dodania do CISA KEV | 2025-05-07 |
Termin naprawy wg CISA | 2025-05-28 |
Produkt | GeoVision: GV-VS12, GV-VS11, GV-DSP LPR V3, GVLX 4 V2, GVLX 4 V3 (urządzenia po końcu wsparcia) |
Wersje zagrożone | Wszystkie wersje oprogramowania układowego wymienionych urządzeń (NVD i ENISA nie ograniczają zakresu wersji) |
Wersje bezpieczne | Brak. Producent nie wyda poprawki dla urządzeń po końcu wsparcia; CISA zaleca zaprzestanie ich używania |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego bez uwierzytelnienia; CWE-78 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). TWCERT/CC: 9.8 (CVSS 3.1). ENISA: 9.8. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie strażnika przy szlabanie, który zapisuje w zeszycie numer rejestracyjny podany przez kierowcę i odczytuje go głośno do centrali. Kierowca zamiast numeru podaje: „WA 12345, a potem otwórz wszystkie bramy i wyłącz alarm”. Strażnik czyta całość do centrali, a centrala wykonuje polecenie, bo nie odróżnia numeru od instrukcji.
Tak działa wstrzyknięcie poleceń w urządzeniach GeoVision. Urządzenie wkleja wartość przysłaną z sieci do polecenia, które samo wykonuje, bez sprawdzenia. Napastnik dopisuje własne polecenie i przejmuje sprzęt. Kamera czy rejestrator to w rzeczywistości mały komputer w firmowej sieci: po przejęciu może posłużyć do podglądu obrazu, jako przyczółek do ataku na komputery i dyski w tej samej sieci albo jako część sieci botów atakującej cudze serwisy.
💡 Oprogramowanie układowe (firmware) to system działający wewnątrz urządzenia. Koniec wsparcia (EoL, EoS) oznacza, że producent nie wydaje już poprawek. Wstrzyknięcie poleceń (command injection) to przemycenie poleceń systemowych w danych przekazywanych urządzeniu. Sieć botów (botnet) to zbiór przejętych urządzeń sterowanych wspólnie, np. do ataków DDoS. Przekierowanie portów to ustawienie routera wystawiające urządzenie z sieci firmowej do internetu. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Ktoś z internetu łączy się z rejestratorem | Bez hasła nic nie może zrobić | Może wykonać dowolne polecenia na urządzeniu |
Podgląd obrazu z kamer | Tylko upoważnione osoby | Także napastnik |
Rejestrator w sieci firmowej | Nagrywa obraz | Przyczółek do ataku na komputery i dyski |
Adres IP firmy | Normalny ruch | Może wysyłać ataki na cudze serwisy, co grozi blokadą łącza |
Aktualizacja urządzenia | Zamyka luki | Niemożliwa, producent nie wyda poprawki |
źródło: Pexels, Sami TÜRKPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA oceniła lukę jako wykorzystywaną aktywnie i możliwą do pełnej automatyzacji, a NVD odsyła do opracowania Akamai o sieci botów opartej na złośliwym oprogramowaniu Mirai i urządzeniach GeoVision (treści opracowania nie udało się nam pobrać i zweryfikować).
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne przeszukiwanie internetu w poszukiwaniu urządzeń GeoVision | Lista dostępnych urządzeń |
2. Wstrzyknięcie polecenia | T+1 do 5 min | Wysłanie żądania z doklejonym poleceniem systemowym, bez logowania | Wykonanie kodu na urządzeniu |
3. Instalacja bota | T+5 do 15 min | Pobranie i uruchomienie złośliwego programu | Urządzenie w sieci botów |
4. Wykorzystanie mocy | T+godziny do tygodni | Ataki na cudze serwisy z adresu IP firmy | Skargi, blokady, ryzyko odcięcia łącza |
5. Rozpoznanie sieci | T+dni | Skanowanie sieci wewnętrznej z przejętego urządzenia | Mapa komputerów i dysków w firmie |
6. Dalszy atak | T+dni do tygodni | Wejście na komputery i dyski z dokumentami | Wyciek danych, możliwe szyfrowanie |
Urządzenia po końcu wsparcia nie przestają działać, więc nic nie przypomina o tym, że nikt ich już nie pilnuje. Przy ataku automatycznym wielkość firmy nie ma znaczenia: program nie wybiera ofiar, tylko sprawdza wszystkie adresy po kolei.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedziałający monitoring lub szlaban, blokada łącza przez operatora | Godziny do dni | 5 tys. do 60 tys. PLN (serwis, wymiana sprzętu, przestój) |
Bezpieczeństwo danych | Podgląd nagrań, dostęp do komputerów i dysków w tej samej sieci | Dni | 10 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty dalszego incydentu, pilna wymiana całego systemu monitoringu | Tygodnie | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Wyciek nagrań, udział firmy w atakach na innych | Tygodnie do miesięcy | 10 tys. do 150 tys. PLN (utracone zaufanie) |
Prawny | Nagrania z monitoringu to dane osobowe: obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzeń GeoVision objętych luką
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE (urządzenie dostępne z internetu)
3 | . □ . . . ← ŚREDNIE (odcięte, w osobnym segmencie)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: urządzenie dostępne z internetu ma krytyczne ryzyko (atak bez hasła, automatyczny, bez możliwości łatki); wpływ oceniamy jako wysoki, a nie maksymalny, bo dotyczy urządzenia peryferyjnego, choć otwiera drogę do sieci. Odcięcie od internetu i wydzielenie w osobnym segmencie wyraźnie obniża ryzyko, ale go nie usuwa.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać z naklejek modele wszystkich rejestratorów, serwerów wideo i modułów odczytu tablic | Dziś | Administrator / osoba odpowiedzialna za budynek |
2 | 🔴 NATYCHMIAST | Usunąć na routerze przekierowania portów do urządzeń GeoVision i odciąć je od internetu | Dziś | Administrator sieci / firma montażowa |
3 | 🟠 PILNIE | Przenieść kamery i rejestratory do osobnego segmentu sieci bez dostępu do komputerów i dysków | Do 7 dni | Administrator sieci |
4 | 🟠 PILNIE | Zapewnić zdalny podgląd wyłącznie przez VPN do sieci firmowej | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Sprawdzić ruch wychodzący z urządzeń (nietypowe połączenia, duży ruch) jako objaw przejęcia | Do 7 dni | Administrator / operator łącza |
6 | 🟡 WAŻNIE | Wpisać wymianę urządzeń po końcu wsparcia do budżetu z konkretnym kwartałem | Do 30 dni | CFO |
7 | 🟡 WAŻNIE | Wprowadzić do umów z firmą montażową obowiązek informowania o końcu wsparcia sprzętu | Przy najbliższej umowie | CFO / CTO |
W tym przypadku aktualizacji nie ma i nie będzie: urządzenia są po końcu wsparcia, a CISA zaleca zaprzestanie ich używania. Producent odsyła do ogólnego dokumentu o bezpieczeństwie urządzeń sieciowych z listopada 2024 roku. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie urządzeń od internetu (usunięcie przekierowań portów) | Wysoka wobec ataków z internetu | Łatwa |
Wydzielenie monitoringu w osobnym segmencie sieci | Średnia do wysokiej: ogranicza skutki przejęcia | Średnia |
Zdalny podgląd tylko przez VPN | Wysoka | Średnia |
Wymiana urządzeń na wspierane modele | Pełna: jedyne trwałe rozwiązanie | Kosztowna, ale z przewidywalnym budżetem |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp z internetu | Otwarty przez przekierowanie portów | Zamknięty, podgląd przez VPN |
Położenie w sieci | Obok komputerów i dysków | Osobny segment |
Wiedza o sprzęcie | Modele znane tylko z umowy sprzed lat | Spis modeli i dat końca wsparcia |
Plan wymiany | Brak | Konkretny kwartał i budżet |
Zgodność z zaleceniem CISA | Urządzenia po końcu wsparcia w użyciu (zalecenie wiąże agencje USA, ale jest dobrym punktem odniesienia) | Urządzenia odcięte i zaplanowane do wymiany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). TWCERT/CC w opisie CVE: luka była już wykorzystywana i wpłynęły zgłoszenia. Ocena CISA: aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; NVD odsyła do opracowania Akamai o sieci botów Mirai (treść niezweryfikowana) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD, TWCERT/CC i ENISA (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzonych informacji; NVD oznacza opracowanie Akamai jako opis działającego wykorzystania |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,28386, górne 2% wszystkich podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-11120
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~28% ██████░░░░░░░░░░░░░░ górne 2%
CISA KEV TAK ████████████████████ ataki potwierdzone
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ koniec wsparcia
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-11 Dokument GeoVision o bezpieczeństwie urządzeń sieciowych
2024-11-15 Publikacja CVE-2024-11120 w NVD (TWCERT/CC: luka już
wykorzystywana)
2025-05-07 CISA dodaje lukę do katalogu KEV, zaleca wycofanie urządzeń
2025-05-28 Termin wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 16 miesięcy od terminu CISA, poprawki nadal brak
2026-09-17: TUTAJ JESTEŚMY Dokument producenta: dlcdn.geovision.com.tw: Security Advisory IP Device 2024-11 (PDF) . Ostrzeżenie TWCERT/CC: twcert.org.tw . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-11120 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spisanie modeli urządzeń monitoringu z naklejek | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastowe odcięcie urządzeń GeoVision od internetu | CTO | DZISIAJ |
3 | Poinformować osoby korzystające z podglądu z telefonu o czasowym braku dostępu | CTO | DZISIAJ |
4 | Zlecić wydzielenie monitoringu w osobnym segmencie sieci | CTO | DO JUTRA |
5 | Poprosić firmę montażową o ofertę wymiany na wspierane urządzenia | CFO | DO JUTRA |
6 | Wpisać wymianę do budżetu z konkretnym kwartałem | CFO | DO JUTRA |
7 | Sprawdzić, czy inne urządzenia w budynku (rejestratory, bramki, centrale) nie są po końcu wsparcia | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia GV-VS12, GV-VS11, GV-DSP LPR V3, GVLX 4 V2 lub V3? | TAK / NIE, [liczba] | 🔴 |
2 | Czy którekolwiek z nich jest dostępne z internetu (przekierowanie portów)? | TAK / NIE | 🔴 |
3 | Czy urządzenia monitoringu są w tej samej sieci co komputery i dyski z dokumentami? | TAK / NIE | 🔴 |
4 | Czy widać nietypowy ruch wychodzący z urządzeń monitoringu? | TAK / NIE | 🟠 |
5 | Jak realizowany jest zdalny podgląd kamer? | [sposób] | 🟠 |
6 | Kiedy planujemy wymianę urządzeń po końcu wsparcia? | [kwartał] | 🟠 |
7 | Czy mamy listę wszystkich urządzeń sieciowych z datami końca wsparcia? | TAK / NIE | 🟡 |
CVE-2024-11120 pozwala każdemu z dostępem sieciowym przejąć bez hasła urządzenia GeoVision GV-VS12, GV-VS11, GV-DSP LPR V3 i GVLX 4, a poprawka nie powstanie, bo sprzęt jest po końcu wsparcia. CISA potwierdza ataki i zaleca wycofanie urządzeń, więc odcięcie ich od internetu to zadanie na dziś, wydzielenie w osobnym segmencie sieci na ten tydzień, a wymiana na wspierany sprzęt powinna trafić do budżetu z konkretnym terminem.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.