ZoneMinder टाइम-आधारित SQL इंजेक्शन (CVE-2024-51482)

📌 भेद्यता अवलोकन

• CVE ID: CVE-2024-51482
• परामर्श: GHSA-qm8h-3xvf-m7j3
• प्रभावित संस्करण: ZoneMinder 1.37.* से 1.37.64 (सम्मिलित)
• पैच किया गया संस्करण: 1.37.65

📖 विवरण

इस रिपॉजिटरी में ZoneMinder संस्करण 1.37.* से 1.37.64 में पाई गई एक ब्लाइंड SQL इंजेक्शन भेद्यता के लिए एक उच्च-प्रदर्शन, समानांतरकृत प्रूफ-ऑफ-कॉन्सेप्ट (PoC) एक्सप्लॉइट (Exploit.py) शामिल है।

भेद्यता का मूल कारण और प्रभाव

GHSA-qm8h-3xvf-m7j3 के अनुसार, यह भेद्यता web/ajax/event.php में removetag क्रिया को संभालते समय उत्पन्न होती है। tid (TagId) पैरामीटर को अनुरोध से पढ़ा जाता है और असुरक्षित रूप से सीधे SQL स्टेटमेंट में जोड़ दिया जाता है:

$tagId = $_REQUEST['tid']; 
// ...
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

क्योंकि $tagId को dbNumRows() में भेजने से पहले पैरामीटरीकृत नहीं किया जाता, एक प्रमाणित हमलावर बूलियन-आधारित या टाइम-आधारित SQL इंजेक्शन तकनीकों का उपयोग करके मनमाना SQL कमांड इंजेक्ट कर सकता है (यहाँ प्रस्तुत PoC SLEEP() का लाभ उठाता है)।

यह SQL डेटाबेस पर पूर्ण नियंत्रण की अनुमति देता है, जिससे डेटा गोपनीयता और अखंडता का नुकसान होता है, और संभावित रूप से लगातार स्लीप कमांड के माध्यम से डिनायल ऑफ सर्विस (DoS) हो सकती है।

शमन

संस्करण 1.37.65 के अनुसार, SQL क्वेरी को ठीक से पैरामीटरीकृत कर दिया गया है। कमजोर ब्लॉक को एक सुरक्षित क्वेरी बनाने के लिए पैच किया गया था:

$sql = "SELECT * FROM Events_Tags WHERE TagId = ?"; 
$rowCount = dbNumRows($sql, $tagId);

एक्सप्लॉइट स्क्रिप्ट

v2.0 FAST EXPLOIT स्क्रिप्ट मल्टी-थ्रेडिंग, एक अनुकूलित कैरेक्टर फ्रीक्वेंसी खोज, और डायनामिक थ्रेशोल्ड कैलिब्रेशन का उपयोग करके डेटा निष्कर्षण को 5 गुना तक तेज करती है, ताकि zm.Users डेटाबेस तालिका से आक्रामक रूप से उपयोगकर्ता क्रेडेंशियल्स (Username:Password) निकाले जा सकें।

🚀 एक्सप्लॉइट विवरण (Exploit.py v2.0 FAST EXPLOIT)

विशेषताएँ

• समानांतर निष्कर्षण: एक साथ कई कैरेक्टर निकालने के लिए ThreadPoolExecutor (डिफ़ॉल्ट 5 वर्कर्स) का उपयोग करता है, जिससे पारंपरिक अनुक्रमिक ब्लाइंड SQLi की तुलना में समग्र निष्कर्षण समय में काफी कमी आती है।
• फ्रीक्वेंसी अनुकूलित खोज: बाइनरी खोज का सहारा लेने से पहले सबसे सांख्यिकीय रूप से सामान्य पासवर्ड और अंग्रेजी वर्णों की जाँच करता है, जिससे प्रति वर्ण अनुरोधों की औसत संख्या कम हो जाती है।
• एक्सपोनेंशियल लंबाई पहचान: समानांतर निष्कर्षण शुरू करने से पहले लक्ष्य स्ट्रिंग की सटीक लंबाई निर्धारित करने के लिए तेज़ एक्सपोनेंशियल स्टेप-सर्च और उसके बाद बाइनरी खोज का उपयोग करता है।
• डायनामिक थ्रेशोल्ड कैलिब्रेशन: नेटवर्क विलंब और वैध SQL निष्पादन देरी के बीच सटीक अंतर करने के लिए स्टार्टअप पर आधारभूत प्रतिक्रिया समय (थ्रेशोल्ड) को स्वचालित रूप से कैलिब्रेट करता है।
• चयनात्मक डंपिंग: किसी विशिष्ट उपयोगकर्ता नाम के लिए क्रेडेंशियल निकालने या संपूर्ण zm.Users तालिका को अनुक्रमिक रूप से डंप करने का समर्थन करता है।

कमजोर एंडपॉइंट और पैरामीटर

• URL: डिफ़ॉल्ट http://<target>/zm/index.php
• पैरामीटर: view=request&request=event&action=removetag
• कमजोर पैरामीटर: tid

🛠️ उपयोग विश्लेषण

python3 Exploit.py

निष्पादन पर, स्क्रिप्ट इंटरैक्टिव मोड में चलती है और निम्नलिखित के लिए संकेत देती है:

1. Target URL: ZoneMinder index.php फ़ाइल का पथ (जैसे, http://zoneminder.local/zm/index.php)।
2. ZMSESSID कुकी मान: इस एक्सप्लॉइट के लिए प्रमाणीकरण आवश्यक है। एक सक्रिय सत्र का प्रतिनिधित्व करने वाली एक मान्य ZMSESSID कुकी प्रदान करें।
3. Target Username (वैकल्पिक): क्रेडेंशियल निकालने के लिए एक विशिष्ट उपयोगकर्ता दर्ज करें, या संपूर्ण zm.Users तालिका को स्वतः पहचानने और डंप करने के लिए इसे खाली छोड़ दें।

extracted_data.txt नामक एक फ़ाइल स्वचालित रूप से डंप किए गए क्रेडेंशियल्स (Username:Password प्रारूप में) के साथ बनाई जाती है। स्क्रिप्ट कुल बीता हुआ समय और भेजे गए HTTP अनुरोधों की कुल संख्या सहित वास्तविक समय के निष्पादन आँकड़े भी प्रदर्शित करती है।

🔗 संदर्भ

• GitHub सुरक्षा परामर्श GHSA-qm8h-3xvf-m7j3
• NVD प्रविष्टि – CVE-2024-51482
• ZoneMinder आधिकारिक साइट

अस्वीकरण: यह एक्सप्लॉइट स्क्रिप्ट केवल शैक्षिक उद्देश्यों और अधिकृत पेनेट्रेशन टेस्टिंग के लिए है। इस टूल का उपयोग उन सिस्टमों के विरुद्ध न करें जिनके स्वामी आप नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति नहीं है।