Kurzfassung

In GeoVision GV-LPC2211 V1.13 stecken zwei kritische Schwachstellen. CVE-2026-88278 erlaubt das Wiederverwenden abgefangener WS-Security-Token bei ONVIF-Operationen. CVE-2026-88285 legt einen netzwerkseitig erreichbaren PTZ-Dienst offen, der Befehle ohne Authentifizierung annimmt.

Für Betreiber von Video- und Kamerainfrastruktur ist das ernst. Wer solche Geräte im internen Netz, in getrennten VLANs oder gar mit Management-Zugang aus dem Internet betreibt, sollte die Konfiguration jetzt prüfen und die Herstellerhinweise verfolgen.

Was ist passiert?

Betroffen ist das GeoVision-Modell GV-LPC2211 in Version 1.13. Die erste Lücke betrifft die Absicherung von ONVIF-Anfragen. Das Gerät prüft nach Angaben der NVD nicht sauber, ob ein UsernameToken noch frisch ist oder ob ein Nonce bereits verwendet wurde. Ein einmal abgegriffener PasswordDigest-Token lässt sich damit erneut einsetzen.

Die zweite Schwachstelle sitzt näher an der Bedienlogik. Der PTZ-Dienst ist aus dem Netz erreichbar und verlangt laut Beschreibung keine Authentifizierung. Angreifer können damit PTZ-Informationen auslesen und PTZ-Befehle oder sogar rohe serielle Kommandos absetzen.

Technische Details

CVE-2026-88278 betrifft WS-Security im ONVIF-Umfeld. Wenn ein Gerät keine Freshness-Prüfung für UsernameToken durchführt, reicht ein mitgeschnittener Token unter Umständen für spätere Sitzungen. Das ist kein theoretisches Randproblem. Wer Zugang zum gleichen Netzsegment hat oder Verkehr mitschneiden kann, bekommt damit einen brauchbaren Angriffsvektor.

CVE-2026-88285 ist einfacher gestrickt, aber praktisch gefährlich. Ein Dienst, der PTZ-Funktionen ohne Authentifizierung freigibt, öffnet den Zugriff auf Kamerasteuerung, Presets und weitere Steuerkommandos. Dass zusätzlich rohe serielle Befehle möglich sind, macht die Sache heikler, weil sich damit je nach Anbindung auch tiefergehende Gerätefunktionen ansprechen lassen. Ob weitere Versionen oder andere GeoVision-Modelle betroffen sind, bleibt in der Quelle offen.

Wer ist betroffen?

Direkt genannt ist nur GeoVision GV-LPC2211 V1.13. Wer diese Version in einer Videoüberwachungsumgebung einsetzt, sollte den Bestand prüfen. Das gilt für Unternehmen, öffentliche Einrichtungen, Sicherheitsdienstleister und alle, die Kameras zentral verwalten.

Privatnutzer trifft das nur dann, wenn sie genau dieses Modell betreiben. Für die meisten Leser ist das also kein Massenproblem. In Unternehmen kann es aber schnell relevant werden, weil solche Geräte oft lange laufen, selten dokumentiert sind und im Netz mehr Rechte haben, als ihnen guttun.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob GV-LPC2211 V1.13 überhaupt im Einsatz ist. Danach gehört das Gerät in ein eng begrenztes Netzsegment, nicht in ein flaches Office-LAN. Wenn der PTZ-Dienst nicht gebraucht wird, sollte er deaktiviert oder per Firewall abgeschottet werden. Für ONVIF gilt: nur freigeben, wenn ein echter Betriebsgrund vorliegt.

Administratoren sollten außerdem nach ungewöhnlichen PTZ-Befehlen, unerklärlichen Kamera-Bewegungen und verdächtigen ONVIF-Anfragen suchen. Wer Traffic mitschneiden kann, sollte auf wiederverwendete UsernameToken oder auffällige Replay-Muster achten. Eine belastbare Entwarnung gibt es erst, wenn der Hersteller eine korrigierte Version oder eine klare Gegenmaßnahme genannt hat. Eine offizielle Hersteller-URL wurde in den Quellen nicht angegeben.

Einschätzung von CyberSecurity-News.de

Die Kombination ist unangenehm. Replay bei ONVIF trifft die Vertraulichkeit und Integrität von Steuerzugriffen, der offene PTZ-Dienst gleich die direkte Kontrolle. Gerade in Videoanlagen ist das kein akademisches Problem, weil solche Systeme oft dauerhaft online sind und im Betrieb kaum jemand hinsieht.

Wirklich schwach ist die Informationslage. Die NVD-Beschreibungen nennen den Fehler, aber keine belastbare Einordnung zu Exploit-Maßnahmen im Feld, keine Hinweise auf aktive Ausnutzung und keine klare Aussage zu weiteren betroffenen Versionen. Wer GeoVision einsetzt, muss deshalb selbst aktiv werden statt auf eine bequeme Herstellerkommunikation zu warten.

Fazit

CVE-2026-88278 und CVE-2026-88285 sind für Betreiber von GeoVision GV-LPC2211 V1.13 relevant und jeweils kritisch eingestuft. Das erste Problem schwächt die Authentisierung im ONVIF-Umfeld, das zweite öffnet PTZ-Funktionen für ungeschützte Netzwerkzugriffe. Wer die Geräte im Einsatz hat, sollte Konfiguration, Segmentierung und Protokollierung jetzt prüfen.

Quellenangabe