🇰🇷 한글 설명
ZLMediaKit의 HTTP API 모듈에서 잘못된 접근 제어 취약점이 발견되었습니다. 인증되지 않은 공격자가 setServerConfig API를 통해 ffmpeg.snap 설정 파라미터를 임의의 셸 명령어로 덮어쓸 수 있으며, 이후 getSnap API를 호출하여 ZLMediaKit 프로세스 권한으로 해당 명령어를 실행(RCE)할 수 있습니다.
💡 쉬운 설명
ZLMediaKit이라는 프로그램의 설정 기능에 보안 구멍이 있어, 누구나 원격에서 악성 명령어를 심을 수 있습니다. 공격자가 심어놓은 명령어가 프로그램 실행 권한으로 작동하여 컴퓨터를 마음대로 조종할 수 있게 됩니다.
🇺🇸 원문 (English)
Incorrect Access Control in the HTTP API module in ZLMediaKit commit 9fd5152 allows remote attackers to achieve Remote Code Execution (RCE) via unauthenticated access to the setServerConfig API endpoint, which permits overwriting the ffmpeg.snap configuration parameter with arbitrary shell commands. These commands are subsequently executed through the getSnap API endpoint with the privileges of the ZLMediaKit process.
📍 영향받는 시스템
ZLMediaKit (commit 9fd5152 포함 이전 버전)
⚔️ 공격 벡터
인증되지 않은 상태에서 setServerConfig API를 통해 ffmpeg.snap 파라미터에 악성 명령어를 주입한 후 getSnap API로 실행
🛡️ 대응 방법
ZLMediaKit을 최신 보안 패치가 적용된 버전으로 업데이트하고, API 접근에 대한 인증 절차를 강화하십시오.
🔧 검증 코드
출력된 커밋 해시값이 9fd5152와 같거나 그 이전 버전이라면 취약한 상태입니다.