ZoneMinder Zeitbasierte SQL-Injection (CVE-2024-51482)

📌 Schwachstellenübersicht

• CVE-ID: CVE-2024-51482
• Advisory: GHSA-qm8h-3xvf-m7j3
• Betroffene Versionen: ZoneMinder 1.37.* bis einschließlich 1.37.64
• Behobene Version: 1.37.65

📖 Beschreibung

Dieses Repository enthält einen leistungsstarken, parallelisierten Proof-of-Concept (PoC)-Exploit (Exploit.py) für eine Blind-SQL-Injection-Schwachstelle in ZoneMinder Versionen 1.37.* bis 1.37.64.

Grundursache der Schwachstelle & Auswirkung

Laut GHSA-qm8h-3xvf-m7j3 liegt die Schwachstelle in web/ajax/event.php bei der Verarbeitung der Aktion removetag. Der Parameter tid (TagId) wird aus der Anfrage gelesen und unsicher direkt in eine SQL-Anweisung eingefügt:

$tagId = $_REQUEST['tid']; 
// ...
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

Da $tagId nicht parametrisiert wird, bevor es an dbNumRows() übergeben wird, kann ein authentifizierter Angreifer mit booleschen oder zeitbasierten SQL-Injection-Techniken (der hier vorgestellte PoC nutzt SLEEP()) beliebige SQL-Befehle injizieren.

Dies ermöglicht die vollständige Kontrolle über die SQL-Datenbanken, was zu einem Verlust der Datenvertraulichkeit und -integrität sowie potenziell zu Denial-of-Service (DoS) durch dauerhafte Sleep-Befehle führt.

Gegenmaßnahme

Ab Version 1.37.65 wurden die SQL-Abfragen ordnungsgemäß parametrisiert. Der anfällige Block wurde korrigiert, um eine sichere Abfrage zu erstellen:

$sql = "SELECT * FROM Events_Tags WHERE TagId = ?"; 
$rowCount = dbNumRows($sql, $tagId);

Exploit-Skript

Das v2.0 FAST EXPLOIT-Skript beschleunigt die Datenextraktion um bis zu 5x durch Multi-Threading, eine optimierte Zeichenhäufigkeitssuche und dynamische Schwellenwertkalibrierung, um aggressiv Benutzeranmeldedaten (Username:Password) aus der Datenbanktabelle zm.Users zu extrahieren.

🚀 Exploit-Details (Exploit.py v2.0 FAST EXPLOIT)

Funktionen

• Parallele Extraktion: Nutzt einen ThreadPoolExecutor (Standard 5 Arbeiter), um mehrere Zeichen gleichzeitig zu extrahieren, was die Gesamtextraktionszeit drastisch reduziert im Vergleich zu herkömmlichen sequentiellen Blind-SQLi.
• Häufigkeitsoptimierte Suche: Prüft zuerst die statistisch häufigsten Passwort- und englischen Zeichen, bevor auf binäre Suche zurückgegriffen wird, wodurch die durchschnittliche Anzahl von Anfragen pro Zeichen minimiert wird.
• Exponentielle Längenerkennung: Verwendet eine schnelle exponentielle Schritt-für-Schritt-Suche gefolgt von binärer Suche, um die genaue Länge der Zielzeichenkette zu bestimmen, bevor die parallele Extraktion beginnt.
• Dynamische Schwellenwertkalibrierung: Kalibriert automatisch die Basis-Antwortzeit (Schwellenwert) beim Start, um genau zwischen Netzwerkverzögerung und legitimen SQL-Ausführungsverzögerungen zu unterscheiden.
• Selektives Auslesen: Unterstützt das Extrahieren von Anmeldedaten für einen bestimmten Benutzernamen oder das sequentielle Auslesen der gesamten zm.Users-Tabelle.

Angreifbarer Endpunkt & Parameter

• URL: Standardmäßig http://<target>/zm/index.php
• Parameter: view=request&request=event&action=removetag
• Angreifbarer Parameter: tid

🛠️ Anwendungsanalyse

python3 Exploit.py

Nach dem Start läuft das Skript im interaktiven Modus und fragt nach Folgendem:

1. Ziel-URL: Der Pfad zur ZoneMinder index.php-Datei (z. B. http://zoneminder.local/zm/index.php).
2. ZMSESSID-Cookie-Wert: Dieser Exploit erfordert Authentifizierung. Geben Sie eine gültige ZMSESSID-Cookie ein, die eine aktive Sitzung repräsentiert.
3. Ziel-Benutzername (optional): Geben Sie einen bestimmten Benutzer ein, um dessen Anmeldedaten zu extrahieren, oder lassen Sie das Feld leer, um die gesamte zm.Users-Tabelle automatisch zu erkennen und auszulesen.

Eine Datei namens extracted_data.txt wird automatisch mit den ausgelesenen Anmeldedaten (im Format Benutzername:Passwort) erstellt. Das Skript zeigt außerdem Echtzeit-Ausführungsstatistiken an, einschließlich der vergangenen Gesamtzeit und der Gesamtzahl der gesendeten HTTP-Anfragen.

🔗 Referenzen

• GitHub Security Advisory GHSA-qm8h-3xvf-m7j3
• NVD-Eintrag – CVE-2024-51482
• ZoneMinder Offizielle Website

Haftungsausschluss: Dieses Exploit-Skript ist ausschließlich für Bildungszwecke und autorisierte Penetrationstests bestimmt. Verwenden Sie dieses Tool nicht gegen Systeme, deren Eigentümer Sie nicht sind oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.