🇰🇷 한글 설명
오픈 소스 비디오 플랫폼인 WWBN AVideo의 26.0 이하 버전에서 인증되지 않은 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자는 `plugin/Live/test.php`를 통해 서버가 임의의 URL로 HTTP 요청을 보내도록 유도할 수 있으며, 이를 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
해커가 인증 없이 서버를 조종하여 서버 내부의 비밀 정보나 다른 컴퓨터에 몰래 접속하게 만드는 취약점입니다. 이를 통해 서버 안에 숨겨진 중요한 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, an unauthenticated server-side request forgery vulnerability in `plugin/Live/test.php` allows any remote user to make the AVideo server send HTTP requests to arbitrary URLs. This can be used to probe localhost/internal services and, when reachable, access internal HTTP resources or cloud metadata endpoints. Commit 1e6cf03e93b5a5318204b010ea28440b0d9a5ab3 contains a patch.
📍 영향받는 시스템
WWBN AVideo 버전 26.0 및 그 이하 모든 버전
⚔️ 공격 벡터
인증되지 않은 원격 사용자가 `plugin/Live/test.php` 경로를 통해 악의적인 HTTP 요청을 전송
🛡️ 대응 방법
커밋 1e6cf03e93b5a5318204b010ea28440b0d9a5ab3가 포함된 최신 패치를 적용하거나 업데이트 수행
🔧 검증 코드
해당 파일의 응답 내용에서 패치 적용 여부나 현재 설치된 버전을 확인하여 취약 여부를 판단합니다.
curl -s http://<target_ip>/plugin/Live/test.php | grep -E 'version|patch'