CVE-2023-31493
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Podatność zdalnego wykonania kodu (RCE) w ZoneMinder do wersji 1.36.33 umożliwia atakującemu utworzenie nowego pliku .php w folderze językowym. Poprzez wykonanie spreparowanego ładunku atakujący może eskalować uprawnienia i wykonać dowolne polecenia na zdalnym systemie.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem ZoneMinder, co może prowadzić do kradzieży danych, zakłócenia monitoringu wizyjnego oraz dalszego ataku na infrastrukturę sieciową.
Rekomendacja
Należy niezwłocznie zaktualizować ZoneMinder do wersji 1.36.34 lub nowszej, która zawiera poprawkę eliminującą tę podatność. Dodatkowo warto ograniczyć uprawnienia do katalogów językowych oraz stosować mechanizmy wykrywania włamań.
Inne podatności w ZoneMinder
Zobacz wszystkie- CVE-2016-10206Wysokie
W podatności CVE-2016-10206 w Zoneminder 1.30 i wcześniejszych wersjach występuje luka CSRF, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia użytkowników w celu zmiany haseł oraz potencjalnie innych działań.
- CVE-2016-10205Wysokie
Podatność na oszustwo sesji w Zoneminder 1.30 i wcześniejszych wersjach umożliwia zdalnym atakującym przejęcie sesji internetowych za pomocą ciasteczka ZMSESSID.
- CVE-2017-5368Wysokie
ZoneMinder w wersjach 1.30 i 1.29 jest podatny na atak CSRF, co pozwala zdalnemu napastnikowi na wprowadzenie zmian w aplikacji webowej jako aktualnie zalogowany użytkownik. Atakujący może stworzyć nowego użytkownika admina, co umożliwia dalsze ataki.
- CVE-2016-10204Krytyczne
W podatności CVE-2016-10204 występuje luka typu SQL injection w Zoneminder w wersji 1.30 i wcześniejszych, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr limit w zapytaniu logu do index.php.
- CVE-2026-54258Średnie
ZoneMinder w wersjach przed 1.36.39, 1.38.4 i 1.39.11 pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach z gruboziarnistymi uprawnieniami Events=View i/lub Snapshots=View na bezpośrednie pobieranie mediów zdarzeń należących do monitorów, do których nie ma dostępu. Normalny interfejs ukrywa zastrzeżony monitor, ale bezpośrednie widoki mediów zdarzeń akceptują dowolny eid i strumieniują media bez egzekwowania ACL na poziomie zdarzenia/monitora.
- CVE-2026-76060Wysokie
W ZoneMinder istnieje podatność na wstrzykiwanie poleceń systemu operacyjnego w funkcji eksportu zdarzeń. Parametr exportFile w żądaniu HTTP jest przekazywany bez sanityzacji do polecenia powłoki wykonywanego przez funkcję exec() w PHP, co pozwala każdemu uwierzytelnionemu użytkownikowi z uprawnieniami View Events na wykonanie dowolnych poleceń systemu operacyjnego na serwerze.
- CVE-2026-72556Wysokie
Podatność zdalnego wykonania kodu w ZoneMinder 1.39.17 pozwala każdemu uwierzytelnionemu użytkownikowi na wykonanie poleceń systemu operacyjnego przez wykorzystanie wadliwego sprawdzania uprawnień w klasie Filter. Metody canEdit() i canDelete() wywołują nieistniejące metody na klasie ZM\User, co powoduje, że PHP __call() zwraca wartość prawdziwą, omijając sprawdzenie uprawnień.
Oryginalny opis (angielski, źródło NVD)
RCE (Remote Code Execution) exists in ZoneMinder through 1.36.33 as an attacker can create a new .php log file in language folder, while executing a crafted payload and escalate privileges allowing execution of any commands on the remote system.