ZoneMinder: OS Command Injection über den Device Path von Monitoren
Zusammenfassung
ZoneMinder, eine Open-Source-Software für Videoüberwachung, verwendet den Device Path von lokalen Monitoren ohne ausreichende Validierung in Shell-Befehlen in PHP- und Perl-Code. Ein authentifizierter Benutzer mit der Berechtigung, Monitore zu erstellen oder zu bearbeiten, kann einen präparierten Device Path speichern, der beim Steuern oder Starten des Monitors ausgeführt wird. Bei einem erfolgreichen Angriff können beliebige Befehle als Benutzer des Webservers ausgeführt werden. Der CVSS-Basiswert beträgt 8.8 (High).
Betroffen
- ZoneMinder vor 1.36.40
- ZoneMinder 1.38.0 bis vor 1.38.2
- ZoneMinder 1.39.0 bis vor 1.39.2
Behoben in
- 1.36.40
- 1.38.2
- 1.39.2
In den Release Notes auf GitHub ist die Korrektur unter 1.38.3 aufgeführt. Die Installation der neuesten Version Ihres Zweigs deckt beide Fälle ab.
Umgehung
- Dem Hersteller ist kein Workaround bekannt. Das Einspielen von Patches ist die wichtigste Massnahme.
- Beschränken Sie den Zugriff auf die ZoneMinder-Weboberfläche auf vertrauenswürdige Netze oder ein VPN.
- Prüfen Sie, welche Konten Rechte zum Erstellen und Bearbeiten von Monitoren besitzen, und entziehen Sie nicht benötigte Rechte.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden.
- In unserer Recherche wurde kein öffentlicher PoC gefunden. Die CISA-SSVC-Bewertung führt die Ausnutzung als 'poc', und das Advisory beschreibt Schritte zur Reproduktion.
- CISA SSVC: nicht automatisierbar.
Unsere Empfehlung
- Aktualisieren Sie ZoneMinder auf die korrigierten Versionen oder die neueste Version Ihres Zweigs.
- Veröffentlichen Sie die Weboberfläche nicht im Internet; beschränken Sie den Zugriff auf vertrauenswürdige Netze oder ein VPN.
- Beschränken Sie Rechte zum Erstellen und Bearbeiten von Monitoren auf die benötigten Konten.
- Prüfen Sie nach dem Patchen bestehende lokale Monitore auf Device Paths mit unerwarteten Zeichen.
- Überwachen Sie das System auf unerwartete Prozesse, die vom Benutzer des Webservers gestartet werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g66m-77fq-79v9 github.com
- GitHub fix commit 419846c8750c3f45b9b8a1df8cd49c189a14dc03 github.com
- SecurityFocus CVE-2026-30971 www.securityfocus.com
- Ubuntu CVE-2026-30971 ubuntu.com
- Debian Security Tracker: zoneminder security-tracker.debian.org
- VulDB CVE-2026-30971 vuldb.com
- FreshPorts: zoneminder www.freshports.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.