Уязвимости в охранных системах ZoneMinder создают условия для слежки

Уязвимости в охранных системах ZoneMinder создают условия для слежки

Уязвимости в охранных системах ZoneMinder создают условия для слежки

Эксперт Positive Technologies обнаружил две уязвимости в системе видеонаблюдения ZoneMinder. Одна из них позволяет получить доступ к внутренней сети и видеопотоку и признана критической.

Продукт ZoneMinder с открытым исходным кодом предназначен для построения корпоративных охранных систем и установки домашнего видеонаблюдения. Проблемы выявлены в выпуске 1.36.14; патчи включены в состав сборки 1.36.16 (коммит на GitHub от 27 мая).

Наиболее опасна уязвимость, получившая 9,1 балла по шкале CVSS. Эксплойт возможен при наличии прав администратора и после аутентификации позволяет выполнить сторонний код на хосте с набором приложений ZoneMinder.

В результате автор атаки сможет проникнуть во внутреннюю сеть жертвы, а также вести перехват видеотрафика. Подобная возможность позволяет, например, получить данные о внутреннем устройстве здания и режиме работы сотрудников компании, в частности, ее службы охраны. В тех случаях, когда ZoneMinder защищает частную собственность, существует риск слива доступа на рынки даркнета.

Менее опасная уязвимость (4,8 балла) классифицируется как хранимая XSS; по свидетельству PT, она связана с отсутствием предварительной обработки пользовательского ввода. Эксплойт позволяет получить доступ к конфиденциальным данным — например, о сессиях пользователей на узле с запущенным веб-приложением ZoneMinder.

«Это весьма распространенное бесплатное решение для установки системы видеонаблюдения, — рассказывает автор находок Илья Яценко. — Оно используется и дома, и в компаниях, в том числе на промышленных предприятиях. Согласно нашим оценкам, наибольшее число пользователей ПО — в США, Польше, Италии, Германии, Люксембурге и России. В некоторых случаях администраторы позволяют подключиться к ZoneMinder без аутентификации, что весьма опасно: злоумышленник может воспользоваться такими системами, как Shodan, для поиска доступных в интернете узлов с установленным ZoneMinder».

 

Причины появления подобных уязвимостей, по словам исследователя, могут быть различными — ошибки в коде, использование устаревших технологий, недостаточно тщательное проведение аудита. Эффективно пресечь попытки эксплойта помогают продукты класса NTA — анализаторы сетевого трафика.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

СУБД Postgres Pro сертифицирована ФСТЭК по стандарту ГОСТ Р 56939-2024

Российская компания Postgres Professional, разработчик отечественной СУБД Postgres Pro, получила сертификат ФСТЭК России на соответствие новому стандарту ГОСТ Р 56939-2024 «Разработка безопасного программного обеспечения. Общие требования». Документ был выдан 21 октября 2025 года.

Postgres Professional стала второй компанией в России, успешно прошедшей сертификацию РБПО по новому ГОСТу.

Как отметил генеральный директор компании Иван Панченко, безопасность изначально встроена в процессы разработки:

«Мы давно строим продукт так, чтобы защита была заложена с первых строк кода. Теперь это официально подтверждено сертификатом ФСТЭК России. Для нас и наших корпоративных клиентов это важный шаг».

Сертификация охватывает весь цикл безопасной разработки — от проектирования и анализа требований до тестирования, сборки и эксплуатации. Проверку проводил Институт системного программирования имени В. П. Иванникова РАН.

Наличие сертификата не только подтверждает высокий уровень зрелости процессов компании, но и упрощает внедрение Postgres Pro в инфраструктуру госорганов, объектов КИИ и бюджетных учреждений, где теперь могут требовать сертифицированные процессы разработки.

Панченко добавил, что сертификация — это «инвестиция в будущее»:

«Она позволит ускорить выпуск обновлений сертифицированных версий и сделать процессы более прозрачными для заказчиков».

Подготовка заняла больше года. В компании планируют продолжить развитие культуры безопасной разработки и обмен опытом с российским ИТ-сообществом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru