Injeção SQL Baseada em Tempo no ZoneMinder (CVE-2024-51482)

📌 Visão Geral da Vulnerabilidade

• ID do CVE: CVE-2024-51482
• Advisory: GHSA-qm8h-3xvf-m7j3
• Versões afetadas: ZoneMinder 1.37.* até (inclusive) 1.37.64
• Versão corrigida: 1.37.65

📖 Descrição

Este repositório contém um exploit de prova de conceito (PoC) de alta performance e paralelizado (Exploit.py) para uma vulnerabilidade de Injeção SQL Cega encontrada nas versões 1.37.* até 1.37.64 do ZoneMinder.

Causa Raiz e Impacto da Vulnerabilidade

De acordo com GHSA-qm8h-3xvf-m7j3, a vulnerabilidade tem origem em web/ajax/event.php ao processar a ação removetag. O parâmetro tid (TagId) é lido da requisição e concatenado de forma insegura diretamente em uma instrução SQL:

$tagId = $_REQUEST['tid']; 
// ...
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

Como $tagId não é parametrizado antes de ser passado para dbNumRows(), um atacante autenticado pode injetar comandos SQL arbitrários usando técnicas de injeção SQL baseada em booleano ou baseada em tempo (o PoC apresentado aqui utiliza SLEEP()).

Isso permite o controle total dos bancos de dados SQL, resultando em perda de confidencialidade e integridade dos dados e, potencialmente, em Negação de Serviço (DoS) por meio de comandos de sleep persistentes.

Mitigação

A partir da versão 1.37.65, as consultas SQL foram devidamente parametrizadas. O bloco vulnerável foi corrigido para construir uma consulta segura:

$sql = "SELECT * FROM Events_Tags WHERE TagId = ?"; 
$rowCount = dbNumRows($sql, $tagId);

Script de Exploit

O script FAST EXPLOIT v2.0 acelera significativamente a extração de dados em até 5x usando multithreading, uma busca otimizada por frequência de caracteres e calibração dinâmica de limiar para extrair agressivamente credenciais de usuário (Username:Password) da tabela zm.Users do banco de dados.

🚀 Detalhes do Exploit (Exploit.py v2.0 FAST EXPLOIT)

Recursos

• Extração Paralela: Utiliza um ThreadPoolExecutor (padrão de 5 workers) para extrair vários caracteres simultaneamente, reduzindo drasticamente o tempo total de extração em comparação com a injeção SQL cega sequencial tradicional.
• Busca Otimizada por Frequência: Verifica primeiro os caracteres de senha e do idioma inglês estatisticamente mais comuns antes de recorrer à busca binária, minimizando o número médio de requisições por caractere.
• Detecção Exponencial de Comprimento: Usa uma busca exponencial rápida por passos seguida de busca binária para determinar o comprimento exato da string alvo antes do início da extração paralela.
• Calibração Dinâmica de Limiar: Calibra automaticamente o tempo de resposta base (limiar) na inicialização para diferenciar com precisão entre latência de rede e atrasos legítimos de execução do SQL.
• Extração Seletiva: Suporta a extração de credenciais de um usuário específico ou o despejo sequencial de toda a tabela zm.Users.

Endpoint e Parâmetros Vulneráveis

• URL: padrão http://<target>/zm/index.php
• Parâmetros: view=request&request=event&action=removetag
• Parâmetro Vulnerável: tid

🛠️ Análise de Uso

python3 Exploit.py

Ao ser executado, o script opera em modo interativo e solicita o seguinte:

1. URL Alvo: O caminho para o arquivo index.php do ZoneMinder (ex.: http://zoneminder.local/zm/index.php).
2. Valor do Cookie ZMSESSID: Este exploit exige autenticação. Forneça um cookie ZMSESSID válido representando uma sessão ativa.
3. Nome de Usuário Alvo (Opcional): Informe um usuário específico para extrair as credenciais ou deixe em branco para detectar automaticamente e despejar toda a tabela zm.Users.

Um arquivo chamado extracted_data.txt é criado automaticamente com as credenciais extraídas (no formato Username:Password). O script também exibe estatísticas de execução em tempo real, incluindo o tempo total decorrido e o número total de requisições HTTP enviadas.

🔗 Referências

• GitHub Security Advisory GHSA-qm8h-3xvf-m7j3
• Entrada NVD – CVE-2024-51482
• Site Oficial do ZoneMinder

Aviso Legal: Este script de exploit destina-se estritamente a fins educacionais e a testes de penetração autorizados. Não utilize esta ferramenta contra sistemas que você não possua ou para os quais não tenha permissão explícita para testar.