CVE-2025-65791 — Befehlsinjizierung in ZoneMinder

Übersicht

Eine kritische Befehlsinjizierungs-Schwachstelle besteht in ZoneMinder v1.36.34 aufgrund einer unsachgemäßen Eingabevalidierung in der Komponente web/views/image.php. Nicht bereinigte, benutzerkontrollierte Eingaben werden direkt an die PHP-Funktion exec() übergeben, sodass Remote-Angreifer beliebige Systembefehle ausführen können.

Dieser Schwachstelle wurde CVE-2025-65791 zugewiesen.

---

Betroffenes Produkt

• Hersteller: ZoneMinder
• Produkt: ZoneMinder
• Version: 1.36.34
• Komponente: web/views/image.php

---

Details zur Schwachstelle

Die Anwendung bereinigt benutzerbereitgestellte Eingaben nicht ordnungsgemäß, bevor sie in Shell-Befehlen verwendet werden. Die in image.php verarbeiteten Parameter werden direkt an die Funktion exec() übergeben, sodass Angreifer Shell-Metazeichen einschleusen und beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen können.

Diese Schwachstelle kann remote ausgenutzt werden und erfordert in bestimmten Konfigurationen keine Authentifizierung.

---

Klassifizierung der Schwachstelle

• CWE: CWE-78 — Improper Neutralization of Special Elements used in an OS Command
• Schwachstellentyp: Befehlsinjizierung
• Angriffsart: Remote
• Auswirkungen: Beliebige Befehlsausführung

---

Angriffsszenarien

Ein Angreifer kann diese Schwachstelle ausnutzen, um:

• beliebige Betriebssystembefehle auszuführen
• sensible Dateien zu lesen, zu ändern oder zu löschen
• eine Reverse-Shell zu etablieren
• abhängig von den Dienstberechtigungen Privilegien zu erweitern
• den betroffenen Server vollständig zu kompromittieren

---

Proof of Concept (PoC)

⚠️ Warnung: Nur für Bildungs- und autorisierte Testzwecke.

?when=now;id

Dieser Payload hängt einen bösartigen Befehl an den beabsichtigten Befehlsausführungsablauf an, was zu einer beliebigen Befehlsausführung führt.

---

Auswirkungsbewertung

Diese Schwachstelle wird aufgrund der Möglichkeit einer nicht authentifizierten Remote-Codeausführung als kritischer Schweregrad (P1) eingestuft.

---

Empfehlungen zur Schadensbegrenzung

• Vermeiden Sie die Verwendung von exec() mit benutzerkontrollierten Eingaben
• Implementieren Sie strenge Eingabevalidierung und Positivlisten
• Verwenden Sie sichere Systemaufruf-Wrapper (z. B. escapeshellarg())
• Wenden Sie Hersteller-Patches an, sobald diese verfügbar sind
• Beschränken Sie die Rechte des Webdienstes mithilfe des Least-Privilege-Prinzips

---

Referenzen

• CWE-78: https://cwe.mitre.org/data/definitions/78.html
• CVE-ID: CVE-2025-65791 (zugewiesen, Veröffentlichung ausstehend)

---

Offenlegungszeitplan

• Entdeckung: 2025
• CVE zugewiesen: 2025
• Öffentliche Offenlegung: Ausstehend

---

Entdecker

Rishav Anand

---

Haftungsausschluss

Diese Informationen werden ausschließlich zu Bildungs- und Verteidigungszwecken bereitgestellt. Der Autor übernimmt keine Verantwortung für eine missbräuchliche Verwendung der bereitgestellten Informationen.