Šta se desilo?

Otkrivena je teška bezbednosna ranjivost u AVideo platformi verzije 29.0 i starije koje omogućava napadačima da preuzmu kontrolu nad korisničkim nalozima, uključujući administratorske. Problam se nalazi u Meet dodatku, odnosno na endpointu uploadRecordedVideo.json.php koji ne proverava da li je korisnik ovlašćen za učitavanje video zapisa. Kombinovanjem ove ranjivosti sa dodatnim bezbednosnim nedostacima, napadač može da kreira falsificirane zahteve i pristupa kao bilo koji korisnik bez znanja njegove lozinke.

Koga pogađa?

Ugroženi su svi korisnici AVideo platforme verzije do 29.0, posebno oni koji koriste Meet plugin. Najveća opasnost je za administratore i vlasništvo platforme, jer napadač može da preuzme kontrolu nad administratorskim nalozima i pristupa svim funkcionalnostima sistema. Pogođene su male i velike organizacije, obrazovne institucije i medijske kuće koje koriste AVideo za učitavanje i deljenje video sadržaja.

Kako se zaštititi?

  • Odmah ažurirajte AVideo na verziju noviju od 29.0 čim postane dostupna
  • Privremeno onemogućite Meet plugin ako nije neophodan za vašu operaciju
  • Proverite logove učitavanja videa na uploadRecordedVideo.json.php endpointu i identifikujte sumnjive aktivnosti
  • Pregledate privilegije pristupa i resetujte lozinke administratorskih naloga
  • Ograničite mrežni pristup Meet pluginu samo na dozvoljene IP adrese
  • Promenite Meet shared secret ako je moguće

Tehnički detalji

Napadač prvo mora da pribavi Meet shared secret kroz putanje prolaska (path-traversal) ili vremenske napade na checkToken.json.php endpoint. Nakon toga, kreira zahtev POST sa osmišljenim imenom datoteke (na primer '1-anything.mp4' gde je '1' korisnikov ID administratora) i šalje ga na uploadRecordedVideo.json.php. Sistem bez provere prihvata datoteku i automatski prijavljuje napadača kao tog korisnika, omogućavajući potpunu preuzimanje naloga. CVSS skor je 9.2 što označava kritičnu ranjivost sa visokim rizikom.

Preporuka Sajber Radara

Ovo je kritična bezbednosna greška koja zahteva hitan odgovor. Svim upravnicima AVideo sistema preporučujemo da odmah procene rizik, privremeno ograniče pristup Meet pluginu i prate bazu podataka za znakove neovlašćenog pristupa. Očekujte brzo izdavanje flata od strane tima AVideo-a.