🇰🇷 한글 설명
Jellyfin 미디어 서버의 자막 변환 코드에서 FFmpeg 인자 주입 취약점이 발견되었습니다. 리눅스 환경에서 파일 이름에 포함된 큰따옴표를 적절히 처리하지 못해 발생하며, 인증 없이 임의의 FFmpeg 인자를 주입할 수 있습니다. 공격자는 이를 통해 서버에 임의의 파일을 쓰거나 정보를 유출할 수 있습니다.
💡 쉬운 설명
자막 파일 이름에 특수 문자를 넣어 서버를 조종할 수 있는 보안 약점입니다. 해커가 이 방법을 사용하면 서버에 몰래 파일을 만들거나 중요한 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Jellyfin is an open source self hosted media server. Prior to 10.11.10, a potential FFmpeg argument injection vulnerability exists in the subtitle conversion code path. SubtitleEncoder.ConvertTextSubtitleToSrtInternal (SubtitleEncoder.cs, line 382) interpolates the subtitle file path into FFmpeg command-line arguments without calling EncodingUtils.NormalizePath(). On Linux, filenames can contain double-quote characters, which break the argument quoting and allow injection of arbitrary FFmpeg arguments. The vulnerability is reachable without authentication via SubtitleController.GetSubtitle, which has no [Authorize] attribute. An attacker who can place a file in a Jellyfin media library directory (shared NAS, Samba share, guest upload) can achieve arbitrary file write on the server and information disclosure. This vulnerability is fixed in 10.11.10.
📍 영향받는 시스템
Jellyfin 10.11.10 미만 버전
⚔️ 공격 벡터
미디어 라이브러리에 특수 문자가 포함된 자막 파일을 배치하여 인증 없이 FFmpeg 인자 주입
🛡️ 대응 방법
Jellyfin을 최신 버전인 10.11.10 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 10.11.10보다 낮으면 취약한 상태입니다.
curl -s http://localhost:8096/system/info | grep -oP '(?<=version":")[^"]+'