Mehrere Sicherheitsschwachstellen in Videoüberwachungssoftware C-MOR (SYSS-2024-020 bis -030)

Bei einer Sicherheitsanalyse der Videoüberwachungssoftware C-MOR Video Surveillance in der Version 5.2401 des Herstellers za-Internet GmbH fanden die IT-Sicherheitsexperten Chris Beiter, Frederik Beimgraben und Matthias Deeg insgesamt elf Sicherheitsschwachstellen unterschiedlichen Typs, wie beispielsweise Cross-Site Scripting-, SQL Injection- und OS Command Injection-Schwachstellen. Acht der identifizierten Sicherheitsschwachstellen wurden dabei als hohes und drei als mittleres Sicherheitsrisiko bewertet.

Unter Ausnutzung dieser Sicherheitsschwachstellen ist es einem Angreifer beispielsweise möglich, administrativen Zugriff über das Netzwerk auf ein verwundbares C-MOR-System zu erlangen.

Detaillierte Informationen zu diesen gefundenen Schwachstellen finden Sie in unseren Security Advisories / You will find detailed information about these security issues in our Security Advisories:

• SYSS-2024-020: Reflected Cross-Site Scripting (CWE-79, CVE-2024-45176)
• SYSS-2024-021: Persistent Cross-Site Scripting (CWE-79, CVE-2024-45177)
• SYSS-2024-022: Cross-Site Request Forgery (CWE-352, CVE-2024-45172)
• SYSS-2024-023: SQL Injection (CWE-89, CVE-2024-45174)
• SYSS-2024-024: Improper Access Control (CWE-284, CVE-2024-45170)
• SYSS-2024-025: Relative Path Traversal (CWE-23, CVE-2024-45178)
• SYSS-2024-026: Unrestricted Upload of File with Dangerous Type (CWE-434, CVE-2024-45171)
• SYSS-2024-027: Improper Privilege Management (CWE-269, CVE-2024-45173)
• SYSS-2024-028: Cleartext Storage of Sensitive Information (CWE-312, CVE-2024-45175)
• SYSS-2024-029: Dependency on Vulnerable Third-Party Component (CWE-1395, CVE-2017-9798, CVE-2017-3167, and more)
• SYSS-2024-030: OS Command Injection (CWE-78, CVE-2024-45179)

In der am 31. Juli 2024 veröffentlichten aktuellen Softwareversion C-MOR Video Surveillance 6.00PL01 sind nicht alle gemeldeten Sicherheitsschwachstellen behoben worden. Sechs der insgesamt elf Sicherheitsschwachstellen lassen sich daher weiterhin von Angreifern mit entsprechendem Systemzugriff ausnutzen, beispielsweise mit entsprechendem Netzwerkzugriff auf die WebGUI.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.