🇰🇷 한글 설명
WWBN AVideo 26.0 이하 버전의 get_api_video_password_is_correct API 엔드포인트는 인증 없이 비밀번호가 보호된 영상의 비밀번호 일치 여부를 확인할 수 있습니다. 속도 제한이나 CAPTCHA가 없어 비밀번호에 대한 오프라인 수준의 무차별 대입 공격이 가능합니다.
💡 쉬운 설명
비밀번호로 보호된 영상의 비밀번호를 누구나 아무 제한 없이 빠르게 맞춰볼 수 있는 취약점입니다. 공격자가 여러 비밀번호를 대입해 정답을 찾아낼 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 26.0, the `get_api_video_password_is_correct` API endpoint allows any unauthenticated user to verify whether a given password is correct for any password-protected video. The endpoint returns a boolean `passwordIsCorrect` field with no rate limiting, CAPTCHA, or authentication requirement, enabling efficient offline-speed brute-force attacks against video passwords. Commit 01a0614fedcdaee47832c0d913a0fb86d8c28135 contains a patch.
📍 영향받는 시스템
WWBN AVideo 26.0 이하 버전
⚔️ 공격 벡터
인증 없이 get_api_video_password_is_correct 엔드포인트에 다수의 비밀번호를 반복 전송해 passwordIsCorrect 값으로 정답을 판별
🛡️ 대응 방법
커밋 01a0614fedcdaee47832c0d913a0fb86d8c28135 패치를 적용하거나 AVideo를 패치된 최신 버전으로 업데이트
🔧 검증 코드
결과가 출력되면 해당 API가 존재하는 것이므로 패치 적용 여부와 소스 코드의 인증/속도 제한 로직을 추가로 확인해야 하며, 결과가 없으면 해당 파일이 설치되어 있지 않은 것입니다.
grep -rn 'get_api_video_password_is_correct' /var/www/ 2>/dev/null | head -5