CVE-2025-65791 — Inyección de Comandos en ZoneMinder

Descripción general

Existe una vulnerabilidad crítica de Inyección de Comandos en ZoneMinder v1.36.34 debido a una validación incorrecta de las entradas en el componente web/views/image.php. La entrada no saneada controlada por el usuario se pasa directamente a la función PHP exec(), lo que permite a atacantes remotos ejecutar comandos arbitrarios del sistema.

A esta vulnerabilidad se le ha asignado el identificador CVE-2025-65791.

Producto afectado

• Proveedor: ZoneMinder
• Producto: ZoneMinder
• Versión: 1.36.34
• Componente: web/views/image.php

Detalles de la vulnerabilidad

La aplicación no sanea adecuadamente la entrada proporcionada por el usuario antes de utilizarla en comandos de shell. Los parámetros procesados en image.php se pasan directamente a la función exec(), lo que permite a los atacantes inyectar metacaracteres de shell y ejecutar comandos arbitrarios en el sistema operativo subyacente.

Esta vulnerabilidad puede explotarse de forma remota y no requiere autenticación en determinadas configuraciones.

Clasificación de la vulnerabilidad

• CWE: CWE-78 — Neutralización incorrecta de elementos especiales utilizados en un comando del sistema operativo
• Tipo de vulnerabilidad: Inyección de comandos
• Tipo de ataque: Remoto
• Impacto: Ejecución arbitraria de comandos

Escenarios de ataque

Un atacante puede aprovechar esta vulnerabilidad para:

• Ejecutar comandos arbitrarios del sistema operativo
• Leer, modificar o eliminar archivos confidenciales
• Establecer una shell inversa
• Escalar privilegios según los permisos del servicio
• Comprometer por completo el servidor afectado

Prueba de concepto (PoC)

⚠️ Advertencia: Solo con fines educativos y de pruebas autorizadas.

?when=now;id

Esta carga útil añade un comando malicioso al flujo de ejecución de comandos previsto, lo que resulta en la ejecución arbitraria de comandos.

Evaluación del impacto

Esta vulnerabilidad se clasifica como de severidad crítica (P1) debido a la posibilidad de ejecución remota de código sin autenticación.

Recomendaciones de mitigación

• Evitar el uso de exec() con entradas controladas por el usuario
• Implementar una validación estricta de entradas y listas de permitidos
• Utilizar envoltorios seguros para llamadas al sistema (p. ej., escapeshellarg())
• Aplicar los parches del proveedor una vez estén disponibles
• Restringir los privilegios del servicio web mediante el principio de mínimo privilegio

Referencias

• CWE-78: https://cwe.mitre.org/data/definitions/78.html
• ID CVE: CVE-2025-65791 (Asignado, pendiente de publicación)

Cronograma de divulgación

• Descubrimiento: 2025
• CVE asignado: 2025
• Divulgación pública: Pendiente

Descubridor

Rishav Anand

Descargo de responsabilidad

Esta información se proporciona únicamente con fines educativos y de seguridad defensiva. El autor no se hace responsable del mal uso de la información proporcionada.