Áhrif
Fjarlægur, óvottaður árásarmaður getur skoðað möppur innan vefrótar ZoneMinder uppsetningar [S1]. Þessi útsetning gerir kleift að birta viðkvæmar kerfisupplýsingar og getur leitt til algjörrar auðkenningar framhjá, veitir óviðkomandi aðgang að stjórnunarviðmóti forritsins [S1].
Orsök
Varnarleysið stafar af gölluðum Apache HTTP Server uppsetningu sem fylgir ZoneMinder útgáfum 1.29 og 1.30 [S1]. Stillingin nær ekki að takmarka skráningarskráningu, sem leiðir til þess að vefþjónninn birtir skráningarskrár fyrir óvottaða notendur [S1].
Lagfæring
Til að taka á þessu vandamáli ættu stjórnendur að uppfæra ZoneMinder í útgáfu sem inniheldur leiðrétta uppsetningu vefþjóns [S1]. Ef tafarlaus uppfærsla er ekki möguleg, ætti að herða Apache stillingarskrárnar sem tengjast ZoneMinder uppsetningunni handvirkt til að slökkva á skráarskráningu og framfylgja ströngum aðgangsstýringum á vefrótinni [S1].
Uppgötvunarrannsóknir
Rannsóknir á þessum varnarleysi benda til þess að uppgötvun felur í sér að bera kennsl á ZoneMinder tilvik og reyna að fá aðgang að vefrótinni eða þekktum undirmöppum án auðkenningar [S1]. Viðkvæmt ástand er venjulega gefið til kynna með tilvist staðlaðra skráningarmynstra, svo sem "Index of /" strengs, í HTTP svarhlutanum þegar engin gild lota er til staðar [S1].