CVE-2023-26035
Zoneminder je bezplatná televizní aplikace s otevřeným zdrojovým zdrojem pro Linux, která podporuje IP, USB a analogové kamery. Verze před 1.36.33 a 1.37.33 jsou zranitelné vůči neoprávněnému provádění vzdáleného kódu prostřednictvím chybějícího oprávnění. Neexistují žádná oprávnění kontrola akce snímku, která očekává, že ID načte existující monitor, ale může být předán objektem, aby místo toho vytvořil nový. Triggeron skončí voláním Shell_Exec pomocí dodávaného ID. Tento problém je vyřešen v tomto čísle, který je vyřešen ve verzích 1.36.33 a 1.37.33.
MISC: http://packetstormsecurity.com/files/175675/ZoneMinder-Snapshots-Command-Injection.html
MISC: https://github.com/ZoneMinder/zoneminder/security/advisories/GHSA-72rg-h4vf-29gr
CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-26035
published: 24. 2. 2023
