🇰🇷 한글 설명
ZoneMinder 1.38.3 미만 버전에서 발생하는 취약점으로, 모니터 이름을 설정할 때 쉘 메타문자를 포함하면 명령 주입이 가능합니다. 권한이 있는 사용자가 악의적인 이름을 저장하고 이벤트 보기 권한을 가진 사용자가 이벤트를 내보낼 때 웹 서버 권한으로 임의의 명령이 실행될 수 있습니다.
💡 쉬운 설명
CCTV 관리 프로그램의 이름 설정 오류를 이용해 해커가 몰래 명령어를 입력할 수 있는 보안 구멍입니다. 이를 통해 해커가 서버에 마음대로 명령을 내려 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
ZoneMinder is a free, open source closed-circuit television software application. Prior to 1.38.3, downloadEvents() manually wraps a monitor Name value in single quotes instead of using escapeshellarg() before placing it in shell commands when a user with monitor-create or monitor-edit permission stores a monitor Name containing shell metacharacters and a user with Events View permission exports that monitor's events. In this attack mechanism, the stored monitor Name reaches both the ffmpeg concatenation command and the tar or zip archive command and breaks out of manual quoting. Arbitrary commands execute as the web server user. This issue is fixed in version 1.38.3.
📍 영향받는 시스템
ZoneMinder 1.38.3 미만 모든 버전
⚔️ 공격 벡터
악의적인 모니터 이름을 저장한 후 이벤트 내보내기 기능을 호출하여 쉘 명령 주입(Command Injection) 수행
🛡️ 대응 방법
ZoneMinder를 최신 버전인 1.38.3 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.38.0부터 1.38.2 사이의 버전이 출력되면 취약한 상태입니다.
zmversion 2>/dev/null | grep -E '1\.38\.[0-2]'