06.12.2024
Релиз Wowza 4.9.1+2 не несет в себе никаких новых функциональных возможностей и полностью направлен на устранение обнаруженных уязвимостей и исправление программных ошибок.
Целых пять уязвимостей были обнаружены специалистами Rapid7 в REST API и, соответственно, в веб-интерфейсе управления Wowza Streaming Engine Manager. Воспользоваться уязвимостями для атаки не так-то просто, но последствия могут быть неприятными.
Уязвимости, о которых идет речь это:
Уязвимости 52052, 52054, 52055, 52055 требуют авторизацию посредством REST API или вход в Wowza Streaming Engine Manager пользователем группы admin. Для 52052 admin с расширенными правами advUser. Соответственно злоумышленник, каким-то образом получивший сначала данные администратора Wowza, может разместить на сервер вредоносного код и запустить его, удалить или просмотреть содержимое некоторых файлов.
А вот 52053 относится к неавторизованному пользователю и, на первый взгляд, выглядит более доступным для реализации атаки. Но, судя по всему, для эксплуатации этой уязвимости нужно сначала модифицировать лог файл Wowza Streaming Engine, что в любом случае требует сначала наличие доступа к файловой системе сервера с Wowza.
Помимо патчей безопасности в апдейт включено достаточно важное исправление ошибки при установлении соединения по протоколу SRT , проявляющееся с некоторыми моделями live энкодеров.