Vulnerabilitate critică Zero-Click în Avideo

A fost identificată o vulnerabilitate critică în AVideo, o platformă open-source de hosting și streaming video utilizată pe scară largă. Urmărită ca CVE-2026-29058, această vulnerabilitate de tip zero-click are un grad de severitate maxim, permițând atacatorilor neautentificați să execute comenzi arbitrare ale sistemului de operare pe serverul vizat.

Vulnerabilitatea afectează în mod specific versiunea 6.0 a AVideo. Aceasta a fost remediată oficial în versiunea 7.0 și în versiunile ulterioare.

Clasificată ca CWE-78, eroare de tip improper neutralization of special elements in an OS command, acest atac bazat pe rețea nu necesită privilegii de sistem sau interacțiunea utilizatorului.

Dacă exploatarea are succes, atacatorii ar putea compromite complet serverul, sustrage informații confidențiale de configurare și prelua controlul asupra fluxurilor video live.

Cauza principală a acestei vulnerabilități se află în componenta objects/getImage.php a platformei AVideo.

Vulnerabilitatea apare atunci când aplicația procesează cereri de rețea care conțin un parametru base64Url.

Platforma decodifică această informație furnizată de utilizator în format Base64 și o interpolează direct într-o comandă shell ffmpeg între ghilimele duble.

Deși software-ul încearcă să valideze informația utilizând filtre URL standard, această funcție verifică doar sintaxa URL de bază.

Deoarece aplicația nu neutralizează corect aceste date nesigure înainte de a executa comanda, atacatorii de la distanță pot adăuga cu ușurință instrucțiuni rău intenționate.

Acest lucru permite utilizatorilor neautorizați să execute cod arbitrar, să sustragă credențiale interne sau să perturbe intenționat capacitățile de streaming ale serverului.

Conform avizului de pe GitHub, administratorii care utilizează AVideo-Encoder versiunea 6.0 ar trebui să treacă la versiunea 7.0 sau o versiune ulterioară pentru a-și securiza mediile.

Versiunea oficială patch-uită remediază problema prin aplicarea unei funcții stricte de escapare a argumentelor shell, utilizând funcții precum escapeshellarg().

Această remediere crucială asigură că toate datele introduse de utilizatori sunt verificate în mod corespunzător înainte de a interacționa cu linia de comandă subiacentă, împiedicând în mod eficient atacatorii să iasă din structura de comandă prevăzută.

Dacă nu este posibilă o actualizare imediată a software-ului, echipele de securitate trebuie să implementeze soluții temporare pentru a-și proteja infrastructura de streaming.

Sursă: https://cybersecuritynews.com/avideo-platform-vulnerability/