🇰🇷 한글 설명
ZoneMinder v1.30/v1.29에 포함된 Apache HTTP Server 설정의 취약점으로, 인증되지 않은 원격 공격자가 /events URI 등을 통해 CCTV 이미지를 포함한 웹 루트의 모든 디렉토리에 접근할 수 있습니다. 이는 심각한 정보 공개 및 인증 우회 취약점입니다.
💡 쉬운 설명
ZoneMinder 보안 카메라 시스템이 누구나 폴더의 모든 파일(CCTV 영상 포함)을 볼 수 있도록 허용하는 버그입니다. 인터넷에서 비밀번호 없이 접속해서 카메라 영상을 마음대로 볼 수 있다는 뜻입니다.
🇺🇸 원문 (English)
Information disclosure and authentication bypass vulnerability exists in the Apache HTTP Server configuration bundled with ZoneMinder v1.30 and v1.29, which allows a remote unauthenticated attacker to browse all directories in the web root, e.g., a remote unauthenticated attacker can view all CCTV images on the server via the /events URI.
📍 영향받는 시스템
ZoneMinder v1.29, v1.30 (Apache HTTP Server bundled 설정)
⚔️ 공격 벡터
원격 공격자가 인증 없이 /events URI 및 기타 디렉토리에 접속하여 파일 탐색 및 CCTV 이미지 다운로드
🛡️ 대응 방법
ZoneMinder를 1.31 이상으로 업그레이드하고 Apache 디렉토리 리스팅 비활성화 및 .htaccess로 접근 제어 설정
🔧 검증 코드
출력된 ZoneMinder 버전이 1.29 또는 1.30이면 취약하며, 1.31 이상이면 패치되었습니다.
dpkg -l | grep zoneminder | awk '{print $3}' && cat /etc/zm/zm.conf 2>/dev/null | grep -i '^ZM_VERSION'