GeoVision GV-ASManager: OS Command Injection im Webserver
Zusammenfassung
Der CNA-Eintrag beschreibt eine OS Command Injection (CWE-78) in der Webserver-Komponente GeoWebServer.exe von GeoVision GV-ASManager, bewertet mit CVSS 9.8. Gemäss Vektor benötigt ein entfernter Angreifer, der die Webports erreichen kann, weder Authentifizierung noch Benutzerinteraktion und könnte möglicherweise Betriebssystembefehle mit hoher Auswirkung ausführen. Eine Sekundärquelle stuft die Schwachstelle als Informationsoffenlegung (CVSS 5.3, CWE-200) ein, weshalb die Einstufung bis zur Prüfung der Herstellerwarnung umstritten ist.
Betroffen
- GV-ASManager bis und mit 6.3.0 (CNA-Eintrag und VulDB)
- Plattform: Windows (CNA-Eintrag)
- Die Formulierung des Canadian Cyber Centre "prior to V6.3.0" klärt nicht eindeutig, ob 6.3.0 selbst betroffen ist.
Behoben in
- Aktualisierung auf GV-ASManager 6.4.0 (CNA-Eintrag und VulDB).
- Die Herstellerwarnung GV-ASM-2026-10-01 konnte nicht abgerufen werden und ist noch nicht verifiziert.
Umgehung
- Kein herstellerspezifischer Workaround gefunden.
- Die Webports von GV-ASManager vom Internet aus sperren; bis zum Patch den Zugriff nur aus Management-VLANs oder per VPN erlauben.
- GeoWebServer.exe mit eingeschränkten Rechten und minimalen Benutzerrechten betreiben (generische Härtung, keine Herstellervorgabe).
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird; nicht in der CISA-KEV-Liste.
- CISA-SSVC-Daten im CVE-Eintrag: Exploitation none, Automatable yes.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Alle GV-ASManager-Installationen und deren Versionen erfassen.
- Prüfen, ob die Webports aus dem Internet erreichbar sind; falls ja, umgehend einschränken.
- Auf 6.4.0 aktualisieren oder auf die in der Herstellerwarnung GV-ASM-2026-10-01 genannte Version, sobald diese verifiziert ist.
- Logs auf unerwartete Child-Prozesse von GeoWebServer.exe prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GeoVision Cyber Security www.geovision.com.tw
- VulDB CVE-2026-108983 vuldb.com
- VulDB vulnerability 422237 vuldb.com
- Vulners CVE-2026-108983 vulners.com
- OpenCVE CVE-2026-108983 app.opencve.io
- CVE threat intelligence CVE-2026-108983 cve.threatint.com
- CVE brief 2026-10-19 cvebrief.com
- Strix CVE-2026-108983 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.