🇰🇷 한글 설명
PeerTube는 ActivityPub 기반 연합형 동영상 스트리밍 플랫폼입니다. 8.2.2 이전 버전에서는 processUpdateActivity 및 processUpdateVideo 함수가 videoObject.id의 호스트에 대해 byActor.url의 권한을 검증하지 않아, 악의적인 연합 서버가 다른 서버의 영상 메타데이터, 공개 설정, 미디어 파일 및 HLS URL을 임의로 변경할 수 있습니다. 이 취약점은 8.2.2 버전에서 수정되었습니다.
💡 쉬운 설명
다른 서버에 올라온 영상의 제목, 공개 여부, 재생 주소 등을 악의적인 서버가 몰래 바꿀 수 있는 취약점입니다. PeerTube를 운영한다면 즉시 8.2.2 이상으로 업데이트해야 합니다.
🇺🇸 원문 (English)
PeerTube is an ActivityPub-federated video streaming platform. Prior to 8.2.2, processUpdateActivity and processUpdateVideo accept an ActivityPub Update containing a Video object without verifying that byActor.url is authorized for the host in videoObject.id, allowing a malicious federated server to rewrite another server's video metadata, visibility, media file, and HLS URLs. This issue is fixed in version 8.2.2.
📍 영향받는 시스템
PeerTube 8.2.2 미만 버전 (연합 기능 사용 서버)
⚔️ 공격 벡터
악의적인 ActivityPub 연합 서버가 Update 활동에 타 서버 영상 객체를 담아 전송해 영상 메타데이터와 미디어 URL을 덮어씀
🛡️ 대응 방법
PeerTube를 8.2.2 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 8.2.2 미만이면 취약하며, 8.2.2 이상이면 패치가 적용된 것입니다. 경로가 다르면 PeerTube 설치 디렉터리에 맞게 수정하세요.
grep -m1 '"version"' /var/www/peertube/peertube-latest/package.json 2>/dev/null || (cd /var/www/peertube/peertube-latest && node -p "require('./package.json').version" 2>/dev/null)