🇰🇷 한글 설명
AVideo 29.0 이하 버전의 ffmpeg.json.php 엔드포인트에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 암호화된 페이로드를 조작하여 notifyCode 및 callback 매개변수에 쉘 메타문자를 삽입하면 웹 서버 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 데이터를 보내 웹 서버가 원래 의도하지 않은 명령을 실행하게 만드는 보안 결함입니다. 이를 통해 공격자는 서버의 제어권을 탈취할 수 있습니다.
🇺🇸 원문 (English)
AVideo through 29.0 contains an OS command injection vulnerability in the ffmpeg.json.php endpoint where notifyCode and callback parameters are concatenated into a shell command without escaping. Attackers who can craft a valid encrypted payload can inject arbitrary shell metacharacters into these fields to execute OS commands as the web-server user.
📍 영향받는 시스템
AVideo 29.0 이하 모든 버전
⚔️ 공격 벡터
암호화된 페이로드 내의 notifyCode 및 callback 매개변수에 쉘 메타문자를 삽입하여 공격
🛡️ 대응 방법
AVideo를 최신 보안 패치가 적용된 버전으로 업데이트하거나 해당 엔드포인트의 입력값 검증 로직을 수정해야 합니다.
🔧 검증 코드
해당 엔드포인트가 활성화되어 있는지 확인하고, 실제 취약점 점검은 보안 허용 범위 내에서 페이로드 테스트를 통해 수행해야 합니다.
curl -s -I http://<target_ip>/ffmpeg.json.php | grep -E 'HTTP/1.1 200 OK'