🇰🇷 한글 설명
AVideo 27.0 이하 버전의 plugin/Live/test.php 파일에서 인증된 관리자가 statsURL 파라미터를 통해 임의의 URL을 읽을 수 있는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 이 취약점은 isSSRFSafeURL() 검증 부재로 인해 발생하며, 공격자는 이를 통해 내부 서비스, 로컬호스트 및 클라우드 메타데이터 엔드포인트에 접근하여 민감한 정보를 탈취할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 서버를 조종하여 서버 내부의 비밀 정보나 클라우드 설정 정보를 몰래 훔쳐볼 수 있는 결함입니다. 서버가 외부로 나가는 요청을 제대로 검사하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
AVideo through version 27.0 contains a server-side request forgery vulnerability in plugin/Live/test.php that allows authenticated administrators to read arbitrary URLs via the statsURL parameter, which lacks isSSRFSafeURL() validation and accepts requests to private IP ranges and cloud metadata endpoints. Attackers can exploit this by crafting requests to internal services, cloud metadata endpoints like 169.254.169.254, and localhost to retrieve sensitive information including IAM credentials, internal service responses, and network configuration details.
📍 영향받는 시스템
AVideo version 27.0 and below
⚔️ 공격 벡터
인증된 관리자가 statsURL 파라미터에 내부 IP 또는 클라우드 메타데이터 주소를 입력하여 요청
🛡️ 대응 방법
AVideo를 최신 버전으로 업데이트하거나, statsURL 파라미터에 대한 입력값 검증 로직(isSSRFSafeURL)을 적용
🔧 검증 코드
해당 경로에 statsURL 파라미터가 존재하고, 169.254.169.254와 같은 내부 주소에 대한 응답이 반환되면 취약한 상태입니다.
curl -s http://<target_ip>/plugin/Live/test.php | grep -E 'statsURL'