Wprowadzenie do problemu / definicja
W produkcie C-MOR Video Surveillance do wersji 6.0104 opisano podatność klasy Directory Traversal, znaną również jako Path Traversal. Tego typu błąd wynika z niewłaściwej walidacji ścieżek do plików i może umożliwić atakującemu odwoływanie się do zasobów znajdujących się poza dozwolonym katalogiem aplikacji.
W praktyce oznacza to, że odpowiednio spreparowane żądanie HTTP może doprowadzić do nieautoryzowanego odczytu plików systemowych i aplikacyjnych. W przypadku rozwiązań monitoringu wizyjnego taki scenariusz ma szczególne znaczenie, ponieważ systemy te często przechowują dane konfiguracyjne, informacje o kamerach oraz ustawienia związane z bezpieczeństwem fizycznym organizacji.
W skrócie
- Podatność dotyczy C-MOR Video Surveillance w wersjach do 6.0104.
- Problem występuje w interfejsie webowym, w komponencie obsługującym zasób
show-movies.pml. - Wektor ataku opiera się na manipulacji parametrem
camz użyciem sekwencji przejścia po katalogach. - Skutkiem może być nieautoryzowany odczyt plików dostępnych z poziomu procesu serwera.
- Publicznie opisany proof of concept wskazuje możliwość pobrania pliku
/etc/passwd.
Kontekst / historia
Systemy CCTV i platformy zarządzania monitoringiem od lat pozostają atrakcyjnym celem ataków. Często są eksponowane do internetu, działają w środowiskach o ograniczonym nadzorze aktualizacyjnym i jednocześnie przetwarzają dane istotne z perspektywy operacyjnej oraz prywatności.
W opisywanym przypadku luka została powiązana z identyfikatorem CVE-2026-51134. Publiczny opis wskazuje, że podatny jest interfejs webowy C-MOR, a odpowiednio przygotowane żądanie umożliwia odwołanie się do plików spoza oczekiwanego katalogu aplikacji. To typowy przykład błędu, który w środowiskach appliance może prowadzić do szerokiego ujawnienia danych lokalnych.
Analiza techniczna
Źródłem problemu jest niewłaściwa kontrola danych wejściowych przekazywanych w parametrze cam do endpointu show-movies.pml. Atakujący może wykorzystać sekwencje takie jak ../, w tym również ich zakodowane warianty, aby wpłynąć na sposób budowania ścieżki do pliku po stronie serwera.
Jeżeli aplikacja łączy dane wejściowe użytkownika z bazową ścieżką bez bezpiecznej normalizacji i bez sprawdzenia, czy końcowy zasób pozostaje w dozwolonym katalogu, możliwe staje się wyjście poza obszar aplikacji. W efekcie serwer może odczytać pliki systemowe, konfiguracyjne, logi lub inne zasoby dostępne w kontekście uprawnień procesu.
Według opisu wektor nie wymaga uwierzytelnienia, co istotnie podnosi poziom zagrożenia. W praktyce wystarczy dostęp sieciowy do interfejsu HTTP lub HTTPS podatnego systemu. W środowiskach, gdzie panel monitoringu jest publicznie dostępny, znacząco skraca to drogę od rozpoznania do skutecznej eksploatacji.
Choć demonstracyjny odczyt pliku /etc/passwd jest klasycznym wskaźnikiem powodzenia ataku typu traversal, realny wpływ może być znacznie większy. Potencjalnie zagrożone są pliki zawierające konfigurację kamer, dane o lokalizacji nagrań, ustawienia sieciowe, konta użytkowników, a w niektórych przypadkach również poświadczenia wykorzystywane przez integracje z innymi systemami.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem podatności jest naruszenie poufności. Nieautoryzowany odczyt plików może ujawnić informacje o architekturze systemu, konfiguracji aplikacji oraz zasobach lokalnych, które nie powinny być dostępne dla osób postronnych.
Drugim poziomem ryzyka jest możliwość dalszego łańcuchowania ataku. Dane pozyskane z plików konfiguracyjnych lub logów mogą posłużyć do kolejnych etapów kompromitacji, takich jak przejęcie kont administracyjnych, wykorzystanie innych podatności, eskalacja uprawnień czy rozszerzenie ataku na sąsiednie segmenty infrastruktury.
W przypadku systemów monitoringu konsekwencje obejmują także obszar bezpieczeństwa fizycznego i ochrony danych. Ujawnienie informacji o kamerach, retencji nagrań czy topologii dozoru może zwiększyć ryzyko nadużyć operacyjnych, a także skutkować incydentem zgodności w organizacjach przetwarzających dane wrażliwe.
- Wysokie ryzyko przy ekspozycji interfejsu do internetu.
- Możliwość ujawnienia plików systemowych i aplikacyjnych bez logowania.
- Potencjał do pozyskania poświadczeń i danych konfiguracyjnych.
- Zwiększone ryzyko dalszej kompromitacji środowiska CCTV i sieci wewnętrznej.
Rekomendacje
Organizacje korzystające z C-MOR powinny w pierwszej kolejności zinwentaryzować wszystkie instancje produktu i potwierdzić używane wersje. Środowiska działające na wersji 6.0104 lub starszej należy traktować jako potencjalnie podatne do czasu wdrożenia poprawek lub skutecznych mechanizmów kompensacyjnych.
Najważniejszym krokiem jest aktualizacja do wersji wolnej od błędu, jeśli została udostępniona przez producenta. Równolegle należy ograniczyć ekspozycję interfejsu webowego wyłącznie do zaufanych sieci administracyjnych oraz rozważyć dostęp przez VPN lub wydzielony bastion.
- Wdrożyć reguły WAF lub reverse proxy blokujące sekwencje traversal, również w postaci zakodowanej.
- Monitorować logi HTTP pod kątem nietypowych żądań do
show-movies.pml. - Analizować próby odwołań do ścieżek systemowych i nietypowo długich parametrów.
- Ograniczyć uprawnienia procesu aplikacji zgodnie z zasadą najmniejszych uprawnień.
- Segmentować system CCTV od pozostałych stref infrastruktury IT.
- Przeprowadzić rotację poświadczeń i sekretów, jeśli istnieje podejrzenie odczytu plików konfiguracyjnych.
Jeżeli istnieją sygnały mogące wskazywać na wykorzystanie podatności, konieczne jest uruchomienie procedur incident response. Obejmuje to zabezpieczenie logów, analizę dostępu do interfejsu webowego, weryfikację integralności systemu oraz ocenę skali potencjalnego wycieku danych.
Podsumowanie
Podatność Directory Traversal w C-MOR Video Surveillance do wersji 6.0104 pokazuje, że pozornie prosty błąd walidacji ścieżek może prowadzić do poważnego incydentu bezpieczeństwa. Brak wymogu uwierzytelnienia, publicznie opisany proof of concept oraz charakter systemu sprawiają, że ryzyko należy traktować poważnie.
Dla zespołów bezpieczeństwa priorytetem powinno być szybkie ustalenie skali wykorzystania podatnego rozwiązania, ograniczenie ekspozycji usług oraz wdrożenie aktualizacji i mechanizmów detekcyjnych. W środowiskach monitoringu wizyjnego nawet częściowe ujawnienie danych może mieć skutki wykraczające poza klasyczny incydent IT.