ZoneMinder: Authentifizierte OS-Command-Injection über Ereignisexport

Zusammenfassung

ZoneMinder, eine Open-Source-Software für Videoüberwachung, enthält eine OS-Command-Injection-Schwachstelle in der Ereignisexportfunktion. Ein authentifizierter Benutzer mit der Berechtigung View Events oder View Snapshots kann einen manipulierten exportFile-Wert übergeben, der in einen tar- oder zip-Shellbefehl eingefügt wird. Bei erfolgreicher Ausnutzung können beliebige Betriebssystembefehle als Benutzer des Webservers ausgeführt werden, was einen Einstiegspunkt ins interne Netzwerk darstellen kann.

Betroffen

• ZoneMinder-Versionen vor 1.38.3 (CVE-Eintrag). VulDB nennt bis 1.38.2; der betroffene Bereich ist in den Quellen nicht vollständig konsistent.
• Voraussetzungen: gültiger Benutzer mit der Berechtigung View Events oder View Snapshots, gültiges CSRF-Token, aktivierte Option exportDetail.

Behoben in

• Behoben in ZoneMinder 1.38.3 (Herstellerangabe und CVE-Eintrag).
• Fix-Commits: 548ed87d47a49c17b4c842f6fee8a08660deb427 und 605f962b7b6ba7f5780b3e6715b5418b8b2addca.
• Behobene Paketversionen der Distributionen: Unbekannt.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Die Berechtigungen View Events und View Snapshots bei Benutzern entfernen, die sie nicht benötigen.
• Den Zugriff auf die ZoneMinder-Weboberfläche auf LAN oder VPN beschränken.

Ausnutzung

• Nicht im Katalog CISA KEV gelistet; keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Status eines öffentlichen Proof-of-Concept widersprüchlich; kein verifizierter funktionierender PoC bestätigt.
• CISA SSVC: Ausnutzungsstatus poc, automatisierbar: nein, technische Auswirkung: total.

Unsere Empfehlung

• ZoneMinder prioritär auf 1.38.3 oder eine neuere Version aktualisieren.
• Falls ein Update nicht sofort möglich ist, die oben genannten Einschränkungen anwenden.
• Benutzerkonten prüfen und geteilte oder nicht benötigte Videoüberwachungs-Logins entfernen.
• Die ZoneMinder-Weboberfläche nicht direkt aus dem Internet erreichbar machen.
• Webserver-Logs auf ungewöhnliche Exportanfragen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  d4kw1n/CVE-2026-102607-ZoneMinder

Quellen der Recherche

• CVE record fix commit 548ed87 github.com
• CVE record fix commit 605f962 github.com
• ZoneMinder release 1.38.3 github.com
• GHSA-7j62-cjxp-3cj5 advisory github.com
• VulDB CVE-2026-102607 vuldb.com
• Ubuntu CVE-2026-102607 ubuntu.com
• Debian security tracker zoneminder security-tracker.debian.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:57.