🇰🇷 한글 설명
오픈 소스 비디오 플랫폼인 WWBN AVideo 26.0 및 이전 버전에서 발생하는 저장형 서버 측 요청 위조(SSRF) 취약점입니다. 업로드 권한이 있는 인증된 사용자가 EPG 링크 기능에 내부 네트워크 주소를 포함한 임의의 URL을 저장할 수 있으며, 서버는 이를 검증 없이 호출합니다. 이를 통해 공격자는 내부 네트워크 스캔, 클라우드 메타데이터 접근 및 내부 서비스와의 상호작용을 수행할 수 있습니다.
💡 쉬운 설명
권한이 있는 사용자가 가짜 주소를 저장해두면, 서버가 그 주소로 몰래 접속을 시도하게 만드는 보안 약점입니다. 이를 이용해 외부에서는 볼 수 없는 회사 내부 네트워크나 중요한 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions 26.0 and prior, the EPG (Electronic Program Guide) link feature in AVideo allows authenticated users with upload permissions to store arbitrary URLs that the server fetches on every EPG page visit. The URL is validated only with PHP's FILTER_VALIDATE_URL, which accepts internal network addresses. Although AVideo has a dedicated isSSRFSafeURL() function for preventing SSRF, it is not called in this code path. This results in a stored server-side request forgery vulnerability that can be used to scan internal networks, access cloud metadata services, and interact with internal services. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
WWBN AVideo 26.0 및 그 이전 모든 버전
⚔️ 공격 벡터
업로드 권한을 가진 사용자가 EPG 링크 설정에 내부망 주소(예: 127.0.0.1, 메타데이터 서비스 주소)를 입력하여 저장
🛡️ 대응 방법
공식 패치가 출시될 때까지 해당 기능을 사용하지 않거나, 입력된 URL이 내부망 주소인지 확인하는 isSSRFSafeURL() 함수를 적용한 보안 패치를 적용해야 합니다.
🔧 검증 코드
명령어 결과에 26.0 이하의 버전 번호가 출력되면 해당 취약점에 노출된 상태입니다.
curl -s http://<target_ip>/path/to/avideo/version_info | grep -E '26\.[0-9]+'