CVE-2026-57879 (CVSS 9.8) - An unauthenticated stack-based buffer overflow vulnerability exists in ssvr in G
CVE-2026-57879是GeoVision GV-LPC2011与GV-LPC2211网络摄像机中的一个严重未授权栈缓冲区溢出漏洞，CVSS评分9.8。ssvr组件处理RTSP自定义认证数据时边界检查不足，远程攻击者可发送恶意RTSP请求实现任意代码执行，完全控制设备。本文提供技术分析、攻击场景及修复建议。
CVE-2026-57879 (CVSS 9.8) - An unauthenticated stack-based buffer overflow vulnerability exists in ssvr in G
📋 漏洞概述
GeoVision GV-LPC2011与GV-LPC2211的ssvr组件因RTSP自定义认证数据边界检查不足，存在未授权栈缓冲区溢出，可导致RCE或拒绝服务。
📋 基础信息
| 受影响版本 | GeoVision GV-LPC2011、GV-LPC2211 固件版本 V1.12 及更早版本 |
| 漏洞类型 | 栈缓冲区溢出 |
| CVSS | 9.8 · Critical |
| CVE | CVE-2026-57879 |
🔬 漏洞根因
GeoVision GV-LPC系列设备中，ssvr（流媒体服务器）在处理RTSP协议的自定义认证（Custom Authentication）字段时，未对用户输入的长度进行有效校验。程序使用固定大小的栈缓冲区（例如256字节）来存储该字段数据，但使用了不安全的字符串拷贝函数（如strcpy或sprintf，推测），导致当攻击者发送超长认证数据时，数据直接覆盖栈上的返回地址、局部变量或异常处理结构，从而触发栈溢出。
🎯 攻击场景
1. 攻击者通过扫描发现公网或内网中运行GV-LPC2011/LPC2211设备，确认其RTSP服务端口（默认554）开放。 2. 攻击者构造一个特制的RTSP DESCRIBE或SETUP请求，在Authorization头中的自定义认证字段（如username或response参数）填充大量恶意数据，其中包括精心构造的ROP链或shellcode地址。 3. 攻击者将恶意RTSP请求发送至目标设备的ssvr进程。 4. 设备ssvr进程因边界检查不足，将超长数据写入栈缓冲区，覆盖返回地址，劫持程序执行流。 5. 成功利用后，攻击者获取设备root权限，可执行任意代码（如安装后门、监听敏感视频流、发起横向移动攻击），或导致ssvr崩溃造成拒绝服务。
💥 漏洞影响
攻击者在未授权条件下，可远程利用栈缓冲区溢出实现任意代码执行，完全控制GeoVision GV-LPC2011/LPC2211设备。具体危害包括：窃取实时视频流、篡改监控记录、植入持久化后门、将受控设备作为跳板攻击内网其他设备。由于CVSS 9.8评分，该漏洞影响面广，且无需用户交互，极易被自动化攻击工具利用。
🛡️ 修复建议
1. 升级固件：立即将GV-LPC2011及GV-LPC2211固件升级至V1.13或更高版本（需联系厂商获取修复版本）。 2. 临时缓解措施： - 在边界防火墙限制对RTSP端口（554）的访问，仅允许信任IP连接。 - 禁用设备上的RTSP自定义认证功能（若配置管理界面支持）。 - 在网络层部署IPS/WAF规则，检测并阻断包含超长Authorization头字段的RTSP请求。
📎 参考链接
- https://nvd.nist.gov/vuln/detail/CVE-2026-57879
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-57879
- 原始来源（NVD-Latest）
🚨 威胁评估
| 📈 EPSS 利用概率 | 低 (0.5%) (高于 40.8% 的漏洞) |
| 🚨 CISA KEV | 未被已知利用 |
| 🔧 公开 PoC | 暂无公开 PoC |
⚠️ 本文由漏洞情报系统自动生成，仅供安全研究与防御参考。生成时间: 2026-06-28 08:08 | 来源: NVD-Latest
🤖 常见问题解答（FAQ）
❓ 如何检测设备是否受CVE-2026-57879影响？
检查设备固件版本：登录管理界面，在系统信息中查看固件版本号，若为V1.12或更早则受影响。也可发送特制RTSP请求测试ssvr是否崩溃，但建议在非生产环境进行。
❓ 该漏洞是否影响视频流加密？
直接影响：攻击者可通过RCE关闭或绕过加密，直接读取原始视频流。即使开启TLS加密，攻击者仍可提取内存中的解密密钥，因此加密不能完全抵御该漏洞。
❓ 临时缓解措施中最有效的是什么？
在边界防火墙中严格限制RTSP端口（554）的源IP白名单，仅允许监控平台IP访问。同时使用IPS规则拦截Authorization头超过1024字节的RTSP请求。