ZoneMinder: OS-Command-Injection über Monitor-Namen beim Event-Export
Zusammenfassung
ZoneMinder übernimmt Monitor-Namen ungeschützt in Shell-Befehle beim Export von Events. Da der Name nur manuell in einfache Anführungszeichen gesetzt und nicht escaped wird, können Shell-Metazeichen im Namen aus dem Befehl ausbrechen. Ein authentifizierter Benutzer mit Berechtigung zum Erstellen oder Bearbeiten von Monitoren und ein weiterer Benutzer mit Berechtigung zur Ansicht von Events können beim Export der Events dieses Monitors beliebige Befehle als Benutzer des Webservers ausführen.
Betroffen
- ZoneMinder-Versionen 1.37.48 bis 1.38.3 (untere Grenze nicht bestätigt; Quellen widersprechen sich)
- Installationen vor 1.38.3 sind als potenziell betroffen anzusehen
Behoben in
- ZoneMinder 1.38.3
Umgehung
- Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- In den geprüften Quellen ist keine öffentliche Ausnutzung bestätigt.
- Der Angriff erfordert authentifizierte Benutzer mit Berechtigung zum Erstellen oder Bearbeiten von Monitoren und Berechtigung zur Ansicht von Events.
Unsere Empfehlung
- ZoneMinder auf Version 1.38.3 oder neuer aktualisieren.
- Bis zur Aktualisierung prüfen, welche Benutzer Monitore erstellen oder bearbeiten dürfen, und diese Rechte auf vertrauenswürdiges Personal beschränken.
- Monitor-Namen auf Shell-Metazeichen prüfen und Export-Logs auf ungewöhnliche Aktivitäten kontrollieren.
- Webserver mit minimalen Rechten betreiben und auf unerwartete Prozesse achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-88m4-hrgp-m9v3 github.com
- ZoneMinder release 1.38.3 github.com
- Fix commit 2de2ae4 github.com
- Fix commit b3a7c05 github.com
- Fix commit b5605e0 github.com
- Scriptkittens: Two sinks, one shell www.scriptkittens.com
- Ubuntu CVE-2026-102608 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:06.
Referenzen der NVD (6)
- https://github.com/ZoneMinder/zoneminder/commit/2de2ae44a1d751bad4b020c5573b2d58c59c1525
- https://github.com/ZoneMinder/zoneminder/commit/b3a7c05f079c87badf4b0ce052da0acfd4047a4b
- https://github.com/ZoneMinder/zoneminder/commit/b5605e01c14354fc8e2dcae8cefd90c3674880d9
- https://github.com/ZoneMinder/zoneminder/releases/tag/1.38.3
- https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-88m4-hrgp-m9v3
- https://www.scriptkittens.com/blog/two-sinks-one-shell
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.