🟠 CVE-2026-45327: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-45327 betrifft TinyIce, einen Streaming-Server für Audio- und Videoübertragungen. Eine kritische Authentifizierungslücke im WebRTC-Ingest-Endpoint ermöglicht es unauthentifizierten Angreifern, unautoisierte Streams in das System einzuspeisen. Die Schwachstelle betrifft die Versionen 0.8.95 bis 2.4.1 und wird mit einem CVSS-Score von 8.2 als „High“ klassifiziert.

Betroffene Systeme

Folgende Versionen sind vulnerabel:

• TinyIce 0.8.95 bis 2.4.1
• Alle Betriebssysteme, auf denen diese Versionen installiert sind

Der Angriffsvektor ist netzwerkbasiert und erfordert keine lokalen Privilegien oder Benutzerinteraktion.

Technische Details

Die WebRTC-Ingest-API validiert die Authentizität ankommender Stream-Anfragen nicht ausreichend. Angreifer können dadurch:

• Unautoisierte Streams in bestimmte Mounts einschleusen
• Legitime Inhalte manipulieren oder ersetzen
• Dienstverfügbarkeit beeinträchtigen

Version 2.5.0 behebt die Schwachstelle durch:

• Erzwingung von HTTP Basic Authentication oder `?password=`-Abfrageparametern
• Passwortverifikation mittels bcrypt gegen Per-Mount-Quellpasswörter
• Integration in existierendes Brute-Force-Rate-Limiting (5 Fehlversuche/15 Minuten pro IP)
• Blockierung von Anfragen für deaktivierte Mounts (`disabled_mounts`)
• Verstärkung des `POST /admin/golive/chunk`-Endpoints durch Session-Validierung und CSRF-Token-Prüfung

Empfohlene Massnahmen

Sofortmassnahmen:

• Upgrade auf TinyIce 2.5.0 oder neuer durchführen
• Netzwerkzugriff auf WebRTC-Ingest-Endpoints einschränken
• Firewall-Regeln implementieren zur Limitierung nicht-authentifizierter Anfragen
• Stream-Quellen auf verdächtige oder unerlaubte Aktivitäten überwachen

Bewertung

CVSS v3.1: 8.2 (High)

Die Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar, da der kritische WebRTC-Ingest-Endpoint vollständig unauthentifiziert zugänglich ist. Ein sofortiges Patch-Management wird empfohlen.

„`