Inyección SQL Basada en Tiempo en ZoneMinder (CVE-2024-51482)

📌 Resumen de la Vulnerabilidad

• ID de CVE: CVE-2024-51482
• Aviso: GHSA-qm8h-3xvf-m7j3
• Versiones afectadas: ZoneMinder 1.37.* hasta (incluyendo) 1.37.64
• Versión parcheada: 1.37.65

📖 Descripción

Este repositorio contiene un exploit de prueba de concepto (PoC) de alto rendimiento y paralelizado (Exploit.py) para una vulnerabilidad de Inyección SQL Ciega encontrada en las versiones de ZoneMinder 1.37.* hasta 1.37.64.

Causa Raíz & Impacto de la Vulnerabilidad

Según GHSA-qm8h-3xvf-m7j3, la vulnerabilidad se origina en web/ajax/event.php al manejar la acción removetag. El parámetro tid (TagId) se lee de la solicitud y se concatena de forma insegura directamente en una sentencia SQL:

$tagId = $_REQUEST['tid']; 
// ...
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

Debido a que $tagId no está parametrizado antes de pasarse a dbNumRows(), un atacante autenticado puede inyectar comandos SQL arbitrarios mediante técnicas de inyección SQL basada en booleanos o en tiempo (el PoC aquí presentado utiliza SLEEP()).

Esto permite el control total de las bases de datos SQL, lo que conlleva una pérdida de confidencialidad e integridad de los datos, y potencialmente una Denegación de Servicio (DoS) mediante comandos de suspensión persistentes.

Mitigación

A partir de la versión 1.37.65, las consultas SQL se han parametrizado correctamente. El bloque vulnerable fue parcheado para construir una consulta segura:

$sql = "SELECT * FROM Events_Tags WHERE TagId = ?"; 
$rowCount = dbNumRows($sql, $tagId);

Script de Explotación

El script v2.0 FAST EXPLOIT acelera significativamente la extracción de datos hasta 5 veces mediante el uso de múltiples hilos, una búsqueda optimizada de frecuencia de caracteres y una calibración dinámica de umbral para extraer agresivamente las credenciales de usuario (Nombre de usuario:Contraseña) de la tabla de base de datos zm.Users.

🚀 Detalles del Exploit (Exploit.py v2.0 FAST EXPLOIT)

Características

• Extracción en Paralelo: Utiliza un ThreadPoolExecutor (por defecto 5 trabajadores) para extraer múltiples caracteres simultáneamente, reduciendo drásticamente el tiempo total de extracción en comparación con la inyección SQL ciega secuencial tradicional.
• Búsqueda Optimizada por Frecuencia: Comprueba primero los caracteres de contraseña e inglés más comunes estadísticamente antes de recurrir a la búsqueda binaria, minimizando el número promedio de solicitudes por carácter.
• Detección Exponencial de Longitud: Utiliza una búsqueda rápida por pasos exponencial seguida de una búsqueda binaria para determinar la longitud exacta de la cadena objetivo antes de que comience la extracción paralela.
• Calibración Dinámica de Umbral: Calibra automáticamente el tiempo de respuesta base (umbral) al inicio para diferenciar con precisión entre la latencia de red y los retrasos legítimos de ejecución SQL.
• Volcado Selectivo: Soporta la extracción de credenciales para un nombre de usuario específico o el volcado secuencial de toda la tabla zm.Users.

Endpoint y Parámetros Vulnerables

• URL: predeterminada http://<target>/zm/index.php
• Parámetros: view=request&request=event&action=removetag
• Parámetro Vulnerable: tid

🛠️ Análisis de Uso

python3 Exploit.py

Al ejecutarse, el script se ejecuta en modo interactivo y solicita lo siguiente:

1. URL de destino: La ruta al archivo index.php de ZoneMinder (por ejemplo, http://zoneminder.local/zm/index.php).
2. Valor de la cookie ZMSESSID: Este exploit requiere autenticación. Proporcione una cookie ZMSESSID válida que represente una sesión activa.
3. Nombre de usuario objetivo (opcional): Ingrese un usuario específico para extraer sus credenciales, o déjelo en blanco para detectar automáticamente y volcar toda la tabla zm.Users.

Se crea automáticamente un archivo llamado extracted_data.txt con las credenciales volcadas (en formato Nombre de usuario:Contraseña). El script también muestra estadísticas de ejecución en tiempo real, incluyendo el tiempo total transcurrido y el número total de solicitudes HTTP enviadas.

🔗 Referencias

• Aviso de Seguridad de GitHub GHSA-qm8h-3xvf-m7j3
• Entrada NVD – CVE-2024-51482
• Sitio Oficial de ZoneMinder

---

Aviso legal: Este script de exploit está destinado estrictamente a fines educativos y pruebas de penetración autorizadas. No utilice esta herramienta contra sistemas que no posea o para los que no tenga permiso explícito para probar.