В веб-сервере GV-ASManager, программного обеспечения для управления системами контроля доступа, обнаружены две уязвимости: внедрение команд и переполнение стека. Первая даёт возможность выполнять команды операционной системы на узле с правами службы веб-сервера. Вторая приводит к аварийному завершению службы, а при удачном для атакующего раскладе и к исполнению произвольного кода. Затронуты организации, которые используют GV-ASManager для выдачи пропусков, настройки расписаний и управления точками доступа.
Две уязвимости веб-сервера GV-ASManager и исправление в V6.4.0
Бюллетень GeoVision датирован 1 октября 2026 года, уязвимости получили идентификаторы CVE-2026-108983 и CVE-2026-108984. Обе затрагивают сборки GV-ASManager вплоть до V6.3.0. Исправление вышло в V6.4.0, дистрибутив доступен на официальной странице загрузки вендора. Сведений об эксплуатации в реальных атаках бюллетень не содержит, публичный эксплойт тоже не упоминается. Оценку по CVSS вендор не приводит, поэтому формального рейтинга у этих уязвимостей нет. Какая проблема соответствует какому идентификатору, документ не поясняет, значит закрывать частично нечего.
GV-ASManager ставят на серверы, к которым обращаются администраторы службы безопасности и операторы охраны, нередко круглосуточно. Такой веб-интерфейс, как правило, живёт во внутренней сети и долго не переезжает: цикл обновления у систем контроля доступа измеряется месяцами. В результате уязвимость остаётся рабочей и после публикации исправления. Интеграции с кадровыми системами и видеонаблюдением расширяют число узлов, откуда можно отправить запрос к веб-серверу.
Внедрение команд через веб-сервер
Внедрение команд означает, что веб-сервер передаёт полученные извне данные в системную оболочку, не проверяя их содержимое. Специально составленный запрос добавляет к операции собственную команду, и она выполняется на сервере. Атакующему не нужен доступ к самой операционной системе: хватает сетевого соединения с веб-интерфейсом. Дальше он меняет список пропусков, расписания и журналы событий, а при достаточных правах службы использует узел как плацдарм для перемещения по сети.
Переполнение стека и остановка службы
Переполнение стека возникает при передаче слишком длинных данных в буфер фиксированного размера. Длина не проверяется, лишние байты уходят за границу буфера, и приложение теряет контроль над собственным состоянием. Результат зависит от того, что лежит в памяти рядом: служба может просто упасть, а может передать управление чужому коду. Для объекта с системой контроля доступа остановка службы уже проблема, поскольку операторы теряют возможность открывать пропуска и видеть события.
Проверить следы эксплуатации помогают журналы веб-сервера. Необычно длинные строки запросов и символы оболочки в параметрах служат поводом для разбора. Падения службы без объяснимой причины тоже сопоставляют с обращениями к интерфейсу. Логи хранят дольше обычного срока, потому что обновление на объектах с круглосуточной работой ставят не сразу.
Обновление до V6.4.0 закрывает обе уязвимости, вендор называет его решением. Пока установка не завершена, веб-интерфейс GV-ASManager ограничивают внутренним сегментом с доступом только для администраторов. Прямые подключения из интернета отключают, удалённую работу переносят за VPN. Межсетевой экран настраивают так, чтобы запросы к веб-серверу шли с минимального числа адресов.
Связка физической безопасности с ИТ-инфраструктурой идёт давно, а обновление устройств контроля доступа отстаёт от общего графика. Внедрение команд и переполнение стека остаются среди распространённых классов уязвимостей, потому что проверка входных данных в веб-интерфейсах выполняется неполно. Оценки по CVSS вендор не публикует, так что приоритет обработки придётся определять по роли системы в инфраструктуре.
Ссылки
- https://dlcdn.geovision.com.tw/TechNotice/CyberSecurity/2026/Security_Advisory_GV-ASM-2026-10-01.pdf
