AVideo — это платформа для обмена видео. Версии до 8.0 содержат уязвимость подделки запросов на стороне сервера (CWE-918) в конечных точках общедоступных эскизов getImage.php и getImageMP4.php. Обе конечные точки принимают параметр GET base64Url, декодируют его в base64 и передают полученный URL-адрес в ffmpeg в качестве источника входных данных без каких-либо требований аутентификации.
Предыдущая проверка проверяла только синтаксическую корректность URL-адреса (FILTER_VALIDATE_URL) и начиналась с http(s)://. Этого недостаточно: злоумышленник может предоставить URL-адреса, такие как http://169.254.169.254/latest/meta-data/ (метаданные AWS/облачного экземпляра), http://192.168.x.x/ или http://127.0.0.1/, чтобы сервер мог получить доступ к внутренним сетевым ресурсам. Ответ не возвращается напрямую (вслепую), но для вывода результатов можно использовать разницу во времени и журналы ошибок.
Проблема исправлена в версии 8.0.
Показать оригинальное описание (EN)
AVideo is a video-sharing Platform. Versions prior to 8.0 contain a Server-Side Request Forgery vulnerability (CWE-918) in the public thumbnail endpoints getImage.php and getImageMP4.php. Both endpoints accept a base64Url GET parameter, base64-decode it, and pass the resulting URL to ffmpeg as an input source without any authentication requirement. The prior validation only checked that the URL was syntactically valid (FILTER_VALIDATE_URL) and started with http(s)://. This is insufficient: an attacker can supply URLs such as http://169.254.169.254/latest/meta-data/ (AWS/cloud instance metadata), http://192.168.x.x/, or http://127.0.0.1/ to make the server reach internal network resources. The response is not directly returned (blind), but timing differences and error logs can be used to infer results. The issue has been fixed in version 8.0.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Wwbn Avideo-Encoder
cpe:2.3:a:wwbn:avideo-encoder:*:*:*:*:*:*:*:*
|
— |
8.0
|