Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-102608 Inyección de comandos del sistema en la exportación de eventos de ZoneMinder

Antes de 1.38.3, downloadEvents() envuelve manualmente el valor Name de un monitor en comillas simples en lugar de usar escapeshellarg() antes de incluirlo en comandos de shell, de modo que un Name con metacaracteres permite ejecutar comandos arbitrarios como el usuario del servidor web al exportar los eventos de ese monitor. Corregido en 1.38.3.

Alerta de Nureq Monitor

Detectada 16 OCT · 17:45

CVSS 3.1

9.0CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 20

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-102608

Antes de 1.38.3, downloadEvents() envuelve manualmente el valor Name de un monitor en comillas simples en lugar de usar escapeshellarg() antes de incluirlo en comandos de shell, de modo que un Name con metacaracteres permite ejecutar comandos arbitrarios como el usuario del servidor web al exportar los eventos de ese monitor. Corregido en 1.38.3.

Productos y versiones afectadas

  • ZoneMinder zoneminder

    • >= 1.37.48, < 1.38.3

Qué hacer

  1. Verificá si usás zoneminder y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Requerida
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

ZoneMinder is a free, open source closed-circuit television software application. Prior to 1.38.3, downloadEvents() manually wraps a monitor Name value in single quotes instead of using escapeshellarg() before placing it in shell commands when a user with monitor-create or monitor-edit permission stores a monitor Name containing shell metacharacters and a user with Events View permission exports that monitor's events. In this attack mechanism, the stored monitor Name reaches both the ffmpeg concatenation command and the tar or zip archive command and breaks out of manual quoting. Arbitrary commands execute as the web server user. This issue is fixed in version 1.38.3.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.