🇰🇷 한글 설명
AVideo 14.3.1 이전 버전에서 PHP uniqid() 함수로 설치 salt를 예측 가능하게 생성하며, 공개 엔드포인트에서 타임스탐프 노출로 공격자가 남은 엔트로피를 브루트포스할 수 있습니다. 복구된 salt로 악의적 페이로드를 암호화하여 알림 API 엔드포인트에 제공하면 웹 서버 권한으로 임의 코드 실행이 가능합니다.
💡 쉬운 설명
AVideo 설치 과정에서 사용되는 보안 키(salt)가 쉽게 예측 가능하게 만들어져서, 공격자가 이를 알아낼 수 있습니다. 이 키를 이용해 악의적인 코드를 숨겨 서버에 보내면 서버에서 실행됩니다.
🇺🇸 원문 (English)
AVideo versions 14.3.1 prior to 20.1 contain an unauthenticated remote code execution vulnerability caused by predictable generation of an installation salt using PHP uniqid(). The installation timestamp is exposed via a public endpoint, and a derived hash identifier is accessible through unauthenticated API responses, allowing attackers to brute-force the remaining entropy. The recovered salt can then be used to encrypt a malicious payload supplied to a notification API endpoint that evaluates attacker-controlled input, resulting in arbitrary code execution as the web server user.
📍 영향받는 시스템
AVideo 14.3.1 이전 모든 버전
⚔️ 공격 벡터
공개 엔드포인트에서 설치 타임스탐프 수집 → 남은 엔트로피 브루트포스 → salt 복구 → 악의적 페이로드 암호화 → 알림 API 엔드포인트에 제출 → RCE
🛡️ 대응 방법
AVideo를 20.1 이후 버전으로 업그레이드하거나 salt 생성 로직을 cryptographically secure 함수로 교체
🔧 검증 코드
명령어가 AVideo 디렉토리를 반환하면 설치 확인 후 cat /var/www/html/AVideo/version.txt로 버전을 확인하여 14.3.1 이전 버전이면 취약
find /var/www -type d -name "AVideo" 2>/dev/null | head -1