🟠 CVE-2026-59808: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-59808 beschreibt eine kritische Authentication-Bypass-Schwachstelle in AVideo bis einschließlich Commit 9c39d8c8. Die Vulnerabilität ermöglicht es Angreifern mit Upload-Berechtigung, административные Zugriffsrechte zu erlangen und Systemkonfigurationen zu modifizieren. Der Schweregrad wird mit 8.8 (High) bewertet. Derzeit ist kein Patch verfügbar.

Betroffene Systeme

Die Schwachstelle betrifft AVideo-Installationen bis Commit 9c39d8c8. Betroffen sind alle Deployments, die:

• Die Funktionen deduplicateByEncoderQueueId() und useVideoHashOrLogin() nutzen
• Encoder-Upload-Funktionalität aktiviert haben
• Keine zusätzlichen Authentifizierungsmechanismen implementiert haben

Technische Details

Die Vulnerabilität basiert auf zwei fehlerhaften Funktionen:

deduplicateByEncoderQueueId(): Diese Funktion gibt video_id_hash-Credentials für beliebige Videos basierend auf der encoder_queue_id zurück, ohne Eigentumsverifikation durchzuführen. Durch Weglassen des videos_id-Parameters können Angreifer den Hash eines Administrator-Videos auslesen.

useVideoHashOrLogin(): Diese Funktion konvertiert den erhaltenen Hash in eine passwortlose Anmeldung als Video-Owner. Der Attacker erhält damit Session-Zugriff mit den Berechtigungen des ursprünglichen Video-Eigentümers.

Angriffsszenario: Ein Attacker mit Upload-Berechtigung ruft deduplicateByEncoderQueueId() ohne videos_id-Parameter auf und erhält den video_id_hash eines Administrator-Videos. Mit diesem Hash kann in einer unauthentifizierten Request die useVideoHashOrLogin()-Funktion aufgerufen werden, was eine administrative Session etabliert.

Empfohlene Massnahmen

• Sofortige Überprüfung der AVideo-Installation auf betroffene Commits
• Implementierung von IP-Whitelisting für Encoder-Uploads
• Deaktivierung des Hash-basierten Login-Mechanismus bis ein Patch verfügbar ist
• Zusätzliche Ownership-Verifikation in deduplicateByEncoderQueueId()
• Regelmäßige Audit-Logs der Authentifizierungsprozesse
• Wartung auf offizielle Sicherheits-Updates

Bewertung

CVSS Score: 8.8 (High)
Angriffsvektor: Network
Angriffskomplementarität: Low (geringe Komplexität erforderlich)
Patch-Status: Nicht verfügbar

Diese Schwachstelle erfordert unmittelbare Aufmerksamkeit, da keine offiziellen Patches existieren.

„`