„`html
Zusammenfassung
WWBN AVideo weist eine Server-Side Request Forgery (SSRF) Schwachstelle auf, die durch mangelhafte Validierung in der Funktion isSSRFSafeURL entsteht. Die Vulnerabilität ermöglicht es Angreifern, SSRF-Schutzmaßnahmen zu umgehen, indem hexadezimal kodierte NAT64-Adressen verwendet werden. Dies ermöglicht den unbefugten Zugriff auf Cloud-Metadatendienste und Loopback-Interfaces.
Betroffene Systeme
Die Schwachstelle betrifft mehrere Versionen von WWBN AVideo. Systeme, auf denen betroffene Versionen installiert sind und der SSRF-Filter aktiv ist, sind gefährdet. Besonders kritisch sind Installationen in Cloud-Umgebungen (AWS, Azure, GCP), wo Metadatendienste exponiert sind.
Technische Details
Die isSSRFSafeURL-Funktion validiert URLs unzureichend auf IPv6-NAT64-Adressen in Hexadezimalformat. Angreifer können Adressen wie 64:ff9b::a9fe:a9fe nutzen, um:
- Cloud-Metadatendienste (z.B. 169.254.169.254 auf AWS) anzufordern
- Loopback-Interfaces (127.0.0.1) zu erreichen
- Interne Dienste und APIs zu kompromittieren
NAT64 ist ein IPv6-zu-IPv4-Übergangsmechanismus. Die hexadezimale Kodierung wird von der Validierungslogik nicht korrekt normalisiert, wodurch Blacklist-Filter umgangen werden können.
Empfohlene Massnahmen
- Sofortmaßnahme: Implementierung zusätzlicher URL-Validierungslogik zur korrekten Behandlung von NAT64-Adressen
- Netzwerk-Segmentierung: Restriction von ausgehenden Verbindungen auf notwendige Ziele
- Monitoring: Überwachung verdächtiger HTTP-Requests zu Metadatendiensten und internen Systemen
- WAF-Regeln: Deployment von Web Application Firewall-Regeln gegen bekannte NAT64-Patterns
- Patching: Regelmäßige Überprüfung auf verfügbare Sicherheitsupdates
Bewertung
CVSS-Score: 7.1 (High) | Patch-Status: Nicht verfügbar
Die Schwachstelle erfordert sofortige Aufmerksamkeit. Das Fehlen eines Patches macht defensive Maßnahmen essentiell. Die Kombination aus Netzwerk-Vektor und direktem Zugriff auf kritische Dienste stellt ein erhebliches Risiko dar.
„`