CVE-2016-10205

Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.

W podatności CVE-2016-10206 w Zoneminder 1.30 i wcześniejszych wersjach występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany haseł oraz potencjalnie innych działań.

ZoneMinder w wersjach 1.30 i 1.29 jest podatny na atak CSRF, co pozwala zdalnemu napastnikowi na wprowadzenie zmian w aplikacji webowej jako aktualnie zalogowany użytkownik. Atakujący może stworzyć nowego użytkownika admina, co umożliwia dalsze ataki.

W podatności CVE-2016-10204 występuje luka typu SQL injection w Zoneminder w wersji 1.30 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr limit w zapytaniu logu do index.php.

W ZoneMinder istnieje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji eksportu zdarzeń. Parametr exportFile w żądaniu HTTP jest przekazywany bez sanityzacji do polecenia powłoki wykonywanego przez funkcję exec() w PHP, co pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami View Events na wykonanie dowolnych poleceń systemu operacyjnego na serwerze.

Podatność zdalnego wykonania kodu (RCE) w ZoneMinder do wersji 1.36.33 umożliwia atakującemu utworzenie nowego pliku .php w folderze językowym. Poprzez wykonanie spreparowanego ładunku atakujący może eskalować uprawnienia i wykonać dowolne polecenia na zdalnym systemie.