🟠 CVE-2026-63305: High Schwachstelle

„`html

Zusammenfassung

AVideo in der Version 29.0 und älter ist anfällig für eine OS-Command-Injection-Schwachstelle im Endpoint ffmpeg.json.php. Die Vulnerability ermöglicht es Angreifern, beliebige Befehle mit den Rechten des Webserver-Benutzers auszuführen. Der CVSS-Score von 8.1 klassifiziert diese Schwachstelle als kritisch für die Systemintegrität.

Betroffene Systeme

• AVideo Version 29.0 und älter
• Alle Installationen mit aktiviertem ffmpeg.json.php Endpoint
• Systeme mit Standard-Konfiguration ohne zusätzliche WAF-Regeln

Technische Details

Die Schwachstelle existiert im ffmpeg.json.php Endpoint, wo die Parameter notifyCode und callback direkt in Shell-Befehle konkateniert werden, ohne dass eine Sanitisierung oder Escape-Mechanismen implementiert sind.

Angreifer können verschlüsselte Payloads mit manipulierten Metazeichen einschleusen. Obwohl die Payloads verschlüsselt sein müssen, ermöglicht dies die Umgehung der Eingabevalidierung. Beispielweise können Zeichen wie |, ;, & oder Backticks verwendet werden, um zusätzliche Befehle einzuschleusen.

Angriffsvektor: Netzwerk-basiert, erfordert verschlüsselte Payload-Konstruktion

Empfohlene Massnahmen

• Sofort: AVideo-Installation auf die neueste Version aktualisieren (>29.0)
• Interim: Zugriff auf ffmpeg.json.php durch Web-Application-Firewall einschränken
• Monitoring: Logs auf verdächtige Requests an diesen Endpoint überprüfen
• Härtung: Webserver-Benutzer mit minimalen Rechten ausführen (Principle of Least Privilege)
• Input-Validierung: Alle Shell-Metazeichen in den genannten Parametern blockieren

Bewertung

CVSS Score: 8.1 (High) | Patch-Status: Nicht verfügbar

Die fehlende Verfügbarkeit eines offiziellen Patches erhöht das Risiko erheblich. Eine schnelle Migration oder alternative Sicherungsmechanismen sind erforderlich.

„`