🇰🇷 한글 설명
WWBN AVideo 버전 29.0 이하에서 CloneSite 플러그인의 cloneClient.json.php가 인증 없이 shared secret (myKey)을 HTTP 응답에 노출합니다. 원격 cloneSiteURL이 구성된 경우 공격자는 노출된 키로 원격 서버로 위장하여 전체 데이터베이스 덤프를 획득할 수 있습니다.
💡 쉬운 설명
비디오 플랫폼의 보안 암호가 아무나 접근 가능한 오류 메시지에 노출됩니다. 공격자가 이를 탈취하여 연동된 다른 서버의 데이터베이스 전체를 다운로드할 수 있습니다.
🇺🇸 원문 (English)
WWBN AVideo is an open source video platform. In versions up to and including 29.0, plugin/CloneSite/cloneClient.json.php echoes the local CloneSite shared secret ($objClone->myKey, a constant md5($global['systemRootPath'] . $global['salt'])) into the HTTP response body on every unauthenticated request. The unauthenticated error branch was intended to reject non-admin callers without a valid key, but the rejection message interpolates the expected key before die(). When the victim has CloneSite configured with a remote cloneSiteURL (standard federation/backup setup), the leaked myKey is exactly the credential that authenticates the victim to that remote server's cloneServer.json.php, allowing the attacker to impersonate the victim and trigger a full mysqldump of the remote's database to the remote's public videos/clones/ directory Commit e6566f56a28f4556b2a0a09d03717a719dcb49da contains an updated fix.
📍 영향받는 시스템
WWBN AVideo 29.0 이하 (CloneSite 기능이 활성화된 경우)
⚔️ 공격 벡터
plugin/CloneSite/cloneClient.json.php에 비인증 요청을 보내 myKey를 추출하고 원격 cloneServer로 위장 공격 수행
🛡️ 대응 방법
commit e6566f56a28f4556b2a0a09d03717a719dcb49da 이상의 버전으로 업그레이드