🇰🇷 한글 설명
TinyIce 0.8.95부터 2.4.1 버전까지의 WebRTC ingest 엔드포인트에서 인증 누락으로 인해 비인가된 스트림 주입이 가능합니다. 2.5.0 버전에서는 bcrypt 기반 비밀번호 검증, IP 기반 브루트포스 방지, 비활성 마운트 거부 등을 통해 이 취약점이 해결되었습니다.
💡 쉬운 설명
TinyIce 미디어 서버의 특정 버전에서는 비밀번호 없이도 스트림을 강제로 삽입할 수 있는 치명적인 결함이 있습니다. 이를 방지하려면 반드시 2.5.0 이상의 최신 버전으로 업그레이드해야 합니다.
🇺🇸 원문 (English)
TinyIce is a streaming server for audio and video. In versions 0.8.95 through 2.4.1, missing authentication on WebRTC ingest endpoint allows unauthenticated stream injection. Version 2.5.0 fixes the issue by requiring either HTTP Basic auth or a `?password=` query parameter, comparing the supplied password against the per-mount source password (or the `default_source_password` fallback) using bcrypt, hooking into the existing brute-force IP rate-limiter (5 failed attempts per IP within 15 minutes triggers a lockout), and rejecting requests for mounts in `disabled_mounts`. The same release also tightens an adjacent endpoint, `POST /admin/golive/chunk`, which previously required session authentication but did not verify the session user's per-mount access nor check the CSRF token.
📍 영향받는 시스템
TinyIce versions 0.8.95 through 2.4.1
⚔️ 공격 벡터
WebRTC ingest 엔드포인트를 통한 비인가 스트림 주입
🛡️ 대응 방법
TinyIce를 2.5.0 이상으로 업그레이드하여 인증 및 보안 강화 기능을 적용하세요.
🔧 검증 코드
명령어 실행 시 해당 버전 범위의 숫자가 출력되면 취약한 버전이므로 즉시 업그레이드해야 합니다.
tinyice --version 2>/dev/null | grep -E '0\.8\.95|0\.9|1\.[0-9]|2\.[0-4]\.[0-9]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
💻 영향받는 소프트웨어
IBM Security Verify Access