CVE-2024-45179 in C-MOR Video Surveillance
要約
〜によって VulDB • 2026年06月13日
za-internetのC-MOR Video Surveillance 5.2401および6.00PL01で問題が発見されました。入力検証の不十分さにより、C-MOR WebインターフェースはOSコマンドインジェクション攻撃に対して脆弱です。新しいX.509証明書の生成やタイムゾーンの設定など、異なる機能においてOSコマンドインジェクション攻撃の対象となることが確認されています。スクリプトgeneratesslreq.pmlにおけるこれらのOSコマンドインジェクションの脆弱性は、HTTP POSTデータ（例：cityパラメータ）内のシェルメタ文字を使用して、低権限の認証済みユーザーとしてLinuxユーザーwww-dataのコンテキストでコマンドを実行するために悪用できます。スクリプトsettimezone.pmlまたはsetdatetime.pmlにおけるOSコマンドインジェクションの脆弱性（例：yearパラメータ経由）は、C-MOR Webインターフェースに対して管理者権限を持つユーザーを必要とします。さらに特権昇格の脆弱性を併せて悪用することで、root権限でC-MORシステム上でコマンドを実行することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.