Multiple vulnerabilities have been found in zoneminder. This update fixes only a serious file disclosure vulnerability (CVE-2017-5595).

The application has been found to suffer from many other problems such as SQL injection vulnerabilities, cross-site scripting issues, cross-site request forgery, session fixation vulnerability. Due to the amount of issues and to the relative invasiveness of the relevant patches, those issues will not be fixed in Wheezy. We thus advise you to restrict access to zoneminder to trusted users only. If you want to review the list of ignored issues, you can check the security tracker:
https://security-tracker.debian.org/tracker/source-package/zoneminder

We recommend that you upgrade your zoneminder packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

zoneminderで複数の脆弱性が見つかりました。この更新では、深刻なファイル漏洩の脆弱性のみが修正されます（CVE-2017-5595）。

アプリケーションが、SQLインジェクションの脆弱性、クロスサイトスクリプティングの問題、クロスサイトリクエスト偽造、セッション固定の脆弱性など、他の多くの問題の影響を受けることが判明しました。問題の量が多く、関連するパッチが比較的侵入的であるため、これらの問題はWheezyで修正されません。このため、zoneminderへのアクセスを、信頼できるユーザーのみに制限することをお勧めします。無視された問題のリストを確認したい場合は、セキュリティトラッカーをチェックできます: 
https://security-tracker.debian.org/tracker/source-package/zoneminder

zoneminder パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

已在 zoneminder 中发现多个漏洞。此更新仅修复了一个严重的文件泄露漏洞 (CVE-2017-5595)。已发现该应用程序还存在许多其他问题，例如 SQL 注入漏洞、跨站脚本问题、跨站请求伪造、会话固定漏洞。由于问题的数量和相关补丁的相对侵入性，这些问题不会在 Wheezy 中修复。因此，建议您将 zoneminder 的访问权限限制为受信任的用户。如需查看被忽略问题的列表，可查看安全跟踪页面：https://security-tracker.debian.org/tracker/source-package/zoneminder 建议您升级 zoneminder 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 v1.30.0 之前的 ZoneMinder 1.x 中web/views/file.php 有一個檔案洩漏和包含弱點這是因為將未篩選的使用者輸入傳遞至 readfile() 所導致經驗證的攻擊者可藉以讀取本機系統檔案 (例如/etc/passwd) 在 Web 伺服器使用者的內容中 (www-data)。
    攻擊向量為 zm/index.php?view=file&path= 要求內 path 參數中的 .. (點點)。
    (CVE-2017-5595)

請注意，Nessus 依賴供應商報告的套件存在。

在 zoneminder 中發現多個弱點。此更新只有修正一個嚴重的檔案洩漏弱點 (CVE-2017-5595)。發現應用程式受到數個問題的影響，包括 SQL 插入弱點、跨網站指令碼問題、跨網站要求偽造、工作階段固定弱點。由於問題數量龐大及相關修補程式的相對侵襲性因素，這些問題將不會在 Wheezy 中修正。因此建議您限制唯有信任的使用者才能 zoneminder。如果想要檢視忽略問題清單，請參閱安全追蹤頁面：https://security-tracker.debian.org/tracker/source-package/zoneminder 建議您升級 zoneminder 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 ZoneMinder 1.x 到 v1.30.0 的版本中web/views/file.php 存在文件泄露及包含漏洞这是因为传递至 readfile() 的未经过滤用户输入所致此漏洞允许经验证的攻击者读取本地系统文件/etc/passwd)。
    攻击向量是 zm/index.php?view=file&path= 请求中路径参数中的 ..点点。
    (CVE-2017-5595)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Security fix for CVE-2017-5595

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A file disclosure and inclusion vulnerability exists in web/views/file.php in ZoneMinder 1.x through     v1.30.0 because of unfiltered user-input being passed to readfile(), which allows an authenticated     attacker to read local system files (e.g., /etc/passwd) in the context of the web server user (www-data).
    The attack vector is a .. (dot dot) in the path parameter within a zm/index.php?view=file&path= request.
    (CVE-2017-5595)

Note that Nessus relies on the presence of the package as reported by the vendor.

以下のためのセキュリティ修正 CVE-2017-5595

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - v1.30.0 までの ZoneMinder 1.x の web/views/file.php に、フィルタリングされていないユーザー入力が readfile() に渡されることによる、ファイル漏洩および組み込みの脆弱性が存在します。これにより、認証された攻撃者がローカルシステムファイルを読み取ることが可能になります。 /etc/passwd を Web サーバーユーザーwwwdataのコンテキストで解決できます。
    攻撃ベクトルは、zm/index.php?view=file&path= リクエスト内のパスパラメーターの .. (ドットドット) です。
    (CVE-2017-5595)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
104184	Debian DLA-1145-1 : zoneminder security update	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
104184	Debian DLA-1145-1: zoneminder セキュリティ更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
104184	Debian DLA-1145-1：zoneminder 安全更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
254081	Linux Distros 未修補的弱點：CVE-2017-5595	Nessus	Misc.	2025/8/24	2025/8/24	medium
104184	Debian DLA-1145-1：zoneminder 安全性更新	Nessus	Debian Local Security Checks	2017/10/27	2021/1/11	medium
254081	Linux Distros 未修补的漏洞：CVE-2017-5595	Nessus	Misc.	2025/8/24	2025/8/24	medium
97243	Fedora 25 : zoneminder (2017-2bb174ae3c)	Nessus	Fedora Local Security Checks	2017/2/21	2021/1/11	medium
97250	Fedora 24 : zoneminder (2017-d5fb74cd2e)	Nessus	Fedora Local Security Checks	2017/2/21	2021/1/6	medium
254081	Linux Distros Unpatched Vulnerability : CVE-2017-5595	Nessus	Misc.	2025/8/24	2025/8/24	medium
97243	Fedora 25：zoneminder（2017-2bb174ae3c）	Nessus	Fedora Local Security Checks	2017/2/21	2021/1/11	medium
97250	Fedora 24：zoneminder（2017-d5fb74cd2e）	Nessus	Fedora Local Security Checks	2017/2/21	2021/1/6	medium
254081	Linux Distros のパッチ未適用の脆弱性: CVE-2017-5595	Nessus	Misc.	2025/8/24	2025/8/24	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium