ZoneMinder Time-Based SQL Injection (CVE-2024-51482)

📌 Обзор уязвимости

• CVE ID: CVE-2024-51482
• Advisory: GHSA-qm8h-3xvf-m7j3
• Затронутые версии: ZoneMinder 1.37.* до (включительно) 1.37.64
• Исправленная версия: 1.37.65

📖 Описание

Этот репозиторий содержит высокопроизводительный, параллелизованный proof-of-concept (PoC) эксплойт (Exploit.py) для слепой SQL-инъекции, обнаруженной в ZoneMinder версий 1.37.* до 1.37.64.

Коренная причина уязвимости и последствия

Согласно GHSA-qm8h-3xvf-m7j3, уязвимость возникает в web/ajax/event.php при обработке действия removetag. Параметр tid (TagId) читается из запроса и небезопасно конкатенируется напрямую в SQL-запрос:

$tagId = $_REQUEST['tid']; 
// ...
$sql = "SELECT * FROM Events_Tags WHERE TagId = $tagId";
$rowCount = dbNumRows($sql);

Поскольку $tagId не параметризуется перед передачей в dbNumRows(), аутентифицированный атакующий может внедрить произвольные SQL-команды, используя техники boolean-based или time-based SQL-инъекций (представленный PoC использует SLEEP()).

Это позволяет получить полный контроль над базами данных SQL, что приводит к потере конфиденциальности и целостности данных, а также потенциально к отказу в обслуживании (DoS) с помощью постоянных команд задержки.

Исправление

Начиная с версии 1.37.65, SQL-запросы были корректно параметризованы. Уязвимый блок был исправлен для построения безопасного запроса:

$sql = "SELECT * FROM Events_Tags WHERE TagId = ?"; 
$rowCount = dbNumRows($sql, $tagId);

Скрипт эксплойта

Скрипт v2.0 FAST EXPLOIT значительно ускоряет извлечение данных до 5 раз за счет многопоточности, оптимизированного поиска по частоте символов и динамической калибровки порогов, чтобы агрессивно извлекать учетные данные пользователей (Username:Password) из таблицы базы данных zm.Users.

🚀 Детали эксплойта (Exploit.py v2.0 FAST EXPLOIT)

Возможности

• Параллельное извлечение: Использует ThreadPoolExecutor (по умолчанию 5 рабочих потоков) для одновременного извлечения нескольких символов, что значительно сокращает общее время извлечения по сравнению с традиционной последовательной слепой SQLi.
• Поиск с оптимизацией частоты: Сначала проверяет наиболее статистически распространенные символы паролей и английского языка, прежде чем переходить к бинарному поиску, минимизируя среднее количество запросов на символ.
• Экспоненциальное определение длины: Использует быстрый экспоненциальный пошаговый поиск с последующим бинарным поиском для определения точной длины целевой строки перед началом параллельного извлечения.
• Динамическая калибровка порога: Автоматически калибрует базовое время отклика (порог) при запуске, чтобы точно различать сетевые задержки и легитимные задержки выполнения SQL.
• Выборочный дамп: Поддерживает извлечение учетных данных для конкретного имени пользователя или последовательный дамп всей таблицы zm.Users.

Уязвимая конечная точка и параметры

• URL: по умолчанию http://<target>/zm/index.php
• Параметры: view=request&request=event&action=removetag
• Уязвимый параметр: tid

🛠️ Анализ использования

python3 Exploit.py

После запуска скрипт работает в интерактивном режиме и запрашивает следующее:

1. Target URL (Целевой URL): Путь к файлу index.php ZoneMinder (например, http://zoneminder.local/zm/index.php).
2. Значение cookie ZMSESSID: Этот эксплойт требует аутентификации. Укажите действительный cookie ZMSESSID, представляющий активную сессию.
3. Target Username (Целевое имя пользователя) (опционально): Введите конкретного пользователя для извлечения его учетных данных или оставьте пустым для автоматического обнаружения и дампа всей таблицы zm.Users.

Автоматически создается файл extracted_data.txt с извлеченными учетными данными (в формате Username:Password). Скрипт также отображает статистику выполнения в реальном времени, включая общее затраченное время и общее количество отправленных HTTP-запросов.

🔗 Ссылки

• GitHub Security Advisory GHSA-qm8h-3xvf-m7j3
• Запись NVD – CVE-2024-51482
• Официальный сайт ZoneMinder

Отказ от ответственности: Этот скрипт эксплойта предназначен исключительно для образовательных целей и авторизованного тестирования на проникновение. Не используйте этот инструмент против систем, которыми вы не владеете или не имеете явного разрешения на тестирование.