CVE-2024-6047 — 神龙十问 AI 深度分析摘要

🚨 **本质**：GeoVision 监控设备存在 **OS命令注入** 漏洞。<br>🔥 **后果**：攻击者可远程执行 **任意系统命令**，设备完全沦陷。

🛡️ **CWE**：CWE-78 (OS命令注入)。<br>🔍 **缺陷**：对用户输入 **过滤不严**，未做安全校验直接拼接执行。

📦 **厂商**：GeoVision。<br>📱 **产品**：GV_DSP_LPR_V2 (日本市场监控设备系列)。

👑 **权限**：获得设备 **最高控制权**。<br>💾 **数据**：可读取/篡改所有数据，甚至控制摄像头画面。

⚡ **门槛**：**极低**。<br>🌐 **条件**：无需认证 (PR:N)，无需用户交互 (UI:N)，网络可达即可利用。

📜 **Exp**：当前数据 **无现成PoC**。<br>⚠️ **风险**：虽无公开代码，但CVSS满分，**在野利用风险高**。

🔍 **自查**：扫描目标是否运行 **GeoVision GV_DSP_LPR_V2**。<br>📡 **检测**：尝试注入恶意字符测试命令回显。

🛠️ **补丁**：数据中 **未提及** 官方具体补丁链接。<br>📢 **建议**：参考 TW-CERT 公告，联系厂商获取修复方案。

🚧 **规避**：若无补丁，立即 **隔离网络**。<br>🚫 **限制**：禁止该设备从公网访问，切断攻击路径。

🔴 **优先级**：**紧急 (Critical)**。<br>📊 **CVSS**：10.0 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)。<br>💡 **行动**：立即下线或加固，切勿拖延。