Jellyfin - это самостоялец, размещенный на медиа-сервере с открытым исходным кодом. Версии до 10.10.7 уязвимы для аргументации инъекции в F…
Jellyfin - это самостоялец, размещенный на медиа-сервере с открытым исходным кодом. Версии до 10.10.7 уязвимы для аргументации инъекции в FFmpeg. Это может быть использовано для возможного достижения удаленного выполнения кода любым, у кого есть полномочия для низкопривилегированного пользователя. Эта уязвимость ранее была зарегистрирована в CVE-2023-49096 и исправлена в версии 10.8.13, но патч можно обойти. Первоначальное исправление санирует некоторые параметры, чтобы сделать инъекции невозможным, но некоторые недезинфицированные параметры все еще могут быть использованы для инъекции аргумента. Те же неаутентичные конечные точки уязвимы: /Videos/<itemId>/stream и /Videos/<itemId>/stream.<container>, вероятно, наряду с аналогичными конечными точками в AudioController. Этот аргумент инъекции может быть использован для достижения произвольного написания файлов, что приводит к возможному удаленному выполнению кода через систему плагинов. В то время как неаутентифицированные конечные точки уязвимы, для эксплуатации требуется действительный идентификатор предмета, и любой аутентифицированный злоумышленник может легко получить действительный элемент Id, чтобы заставить эксплойт работать. Эта уязвимость исправлена в версии 10.10.7.
Продукт формирует строку команды для исполнения отдельным компонентом в другой сфере управления, однако не разграничивает должным образом предполагаемые аргументы, параметры или ключи внутри строки команды.
https://cwe.mitre.org/data/definitions/88.html →Открыть в коллекции CWE →Данный тип атаки предполагает использование злоумышленником метасимволов в заголовках электронных писем для внедрения нежелательного поведения в почтовые программы. Программное обеспечение для работы с электронной почтой становится всё более сложным и многофункциональным. Кроме того, почтовые приложения повсеместно распространены и напрямую связаны с интернетом, что делает их идеальными целями для запуска и распространения атак. По мере того как пользовательский спрос на новую функциональность почтовых приложений растёт, они всё больше напоминают браузеры со сложными процедурами рендеринга и подключаемыми модулями. По мере включения в почтовые приложения всё большей функциональности и её сокрытия от пользователя злоумышленники получают новые возможности. Фактически все почтовые приложения по умолчанию не отображают информацию из заголовков электронных писем, однако заголовок письма содержит ценные векторы атаки для злоумышленника — особенно если поведение почтового клиента известно. Метасимволы скрыты от пользователя, но могут содержать скрипты, перечисления, зонды и другие атаки против системы пользователя.
https://capec.mitre.org/data/definitions/41.html →Открыть в коллекции CAPEC →При данном типе атаки злоумышленник внедряет команды операционной системы в существующие функции приложения. Уязвимым является любое приложение, использующее непроверенные входные данные для формирования командных строк. Злоумышленник может использовать внедрение команд ОС в приложении для повышения привилегий, выполнения произвольных команд и компрометации базовой операционной системы.
https://capec.mitre.org/data/definitions/88.html →Открыть в коллекции CAPEC →Злоумышленник манипулирует содержимым параметров запроса с целью подрыва безопасности цели. В ряде кодировок параметров текстовые символы используются в качестве разделителей. Например, параметры в HTTP GET-сообщении кодируются в виде пар «имя=значение», разделённых символом амперсанда (&). Если злоумышленник может поставлять текстовые строки для заполнения этих параметров, он может внедрять специальные символы, применяемые в схеме кодирования, для добавления или изменения параметров. Например, если пользовательский ввод напрямую подставляется в HTTP GET-запрос и пользователь указывает значение "myInput&new_param=myValue", входной параметр принимает значение myInput, но при этом добавляется новый параметр (new_param) со значением myValue. Это может существенно изменить смысл запроса, обрабатываемого сервером. Потенциально уязвима любая схема кодирования, в которой параметры идентифицируются и разделяются текстовыми символами, — приведённое HTTP GET-кодирование является лишь одним из примеров.
https://capec.mitre.org/data/definitions/137.html →Открыть в коллекции CAPEC →Злоумышленник использует ненадлежащую проверку данных для внедрения вредоносных глобальных параметров во Flash-файл, встроенный в HTML-документ. Flash-файлы могут использовать данные, вводимые пользователем, для настройки Flash-документа и получения доступа к встраивающему HTML-документу.
https://capec.mitre.org/data/definitions/174.html →Открыть в коллекции CAPEC →Злоумышленник добавляет дублирующиеся параметры HTTP GET/POST путём внедрения разделителей строки запроса. С помощью HPP можно переопределить существующие жёстко заданные HTTP-параметры, изменить поведение приложения, получить доступ к неконтролируемым переменным и потенциально эксплуатировать их, а также обойти контрольные точки проверки входных данных и правила WAF.
https://capec.mitre.org/data/definitions/460.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| jellyfin-server | Отслеживается | |
| jellyfin | * | Отслеживается |