CVE-2026-7372 — 神龙十问 AI 深度分析摘要

🚨 **本质**：WebCam 服务器登录功能的**栈溢出**。 💥 **后果**：攻击者可发送特制 HTTP 请求，触发**任意代码执行**，直接接管服务器。

🔍 **CWE**：CWE-787（出界写入）。 🐛 **缺陷点**：`sscanf` 调用**未限制长度**。用户名/密码解码后若超过 **40 字符**，直接覆盖堆栈。

🏢 **厂商**：GeoVision Inc. 📦 **产品**：GV-VMS V20 🔢 **版本**：20.0.2（WebCam Server 组件）。

👑 **权限**：以 **SYSTEM** 权限运行。 💾 **数据**：完全控制服务器，可执行任意指令，无数据泄露限制。

🔓 **认证**：**无需身份验证**（Unauthenticated）。 🌐 **网络**：远程攻击（AV:N），但利用复杂度较高（AC:H）。

📜 **Exp**：目前 **无公开 PoC**（pocs 为空）。 ⚠️ **利用难度**：虽可远程利用，但存在**空字节限制**等约束，实战利用门槛较高。

🔎 **自查**：检查是否运行 GeoVision GV-VMS V20.0.2。 📡 **扫描**：监测针对 WebCam 登录接口的**超长字符串** HTTP 请求。

🛡️ **官方**：已发布安全公告（vendor-advisory）。 📥 **补丁**：建议立即访问 GeoVision 官网获取最新固件/补丁。

🚧 **临时规避**：若无法打补丁，建议**隔离**该 WebCam 服务。 🚫 **网络**：限制对登录接口的**外部访问**，仅允许内网信任 IP 连接。

⚡ **优先级**：**高**。 💡 **见解**：虽利用有门槛（AC:H），但**无认证**且后果严重（SYSTEM 权限），需尽快修复以防被自动化扫描利用。