🇰🇷 한글 설명
ZoneMinder의 특정 버전에서 권한이 낮은 인증된 사용자가 접근 권한이 없는 모니터의 이벤트 미디어를 직접 가져올 수 있는 취약점이 발견되었습니다. UI에서는 제한된 모니터가 숨겨지지만, 이벤트 ID(eid)를 직접 입력하면 ACL 검증 없이 영상 스트림을 호출할 수 있어 사생활이 노출될 위험이 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 주소창에 특정 번호만 입력하면, 원래 볼 수 없는 다른 구역의 CCTV 영상을 몰래 볼 수 있는 보안 허점입니다. 시스템이 권한을 제대로 확인하지 않고 영상을 바로 보여주기 때문에 발생합니다.
🇺🇸 원문 (English)
ZoneMinder is a free, open source closed-circuit television software application. Versions prior to 1.36.39, 1.38.4, and 1.39.11 allow an authenticated low-privileged user with coarse `Events=View` and/or `Snapshots=View` permissions to directly fetch media for events belonging to monitors they are not allowed to access. The normal UI correctly hides the restricted monitor and its events, but direct event media views accept an arbitrary `eid` and stream media from the event path without enforcing the event/monitor-level ACL. This exposes private surveillance footage across monitor boundaries. Versions 1.36.39, 1.38.4, and 1.39.11 fix the issue.
📍 영향받는 시스템
ZoneMinder 1.36.39, 1.38.4, 1.39.11 미만 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 이벤트 ID(eid)를 직접 조작하여 미디어 경로에 접근하는 방식
🛡️ 대응 방법
ZoneMinder를 최신 보안 패치가 적용된 버전(1.36.39, 1.38.4, 1.39.11 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약점이 해결된 버전(1.36.39, 1.38.4, 1.39.11 이상)인지 확인하십시오.
zmversion 2>/dev/null || dpkg -l | grep zoneminder