CVE-2025-32012

Jellyfin açıq mənbəli və özünə aid host edilən media serverdir. 10.9.0 versiyasından 10.10.7 versiyasına qədər olan versiyalarda `/System/Restart` son nöqtəsi administratorlara Jellyfin serverini yenidən başlatmaq imkanı verir. Bu son nöqtə yalnız administratorlar üçün nəzərdə tutulub, lakin o, həmçinin Jellyfin serveri ilə eyni yerli şəbəkədə olan istənilən cihazdan gələn sorğuları avtorizasiya edir. Jellyfin-in sorğunun mənbə IP ünvanını müəyyən etmək üçün istifadə etdiyi metod səbəbindən, autentifikasiya olunmamış hücumçu öz IP ünvanını saxtalaşdıraraq onu LAN IP kimi göstərə bilir və beləliklə, autentifikasiyasız Jellyfin server prosesini yenidən başlada bilir. Bu o deməkdir ki, autentifikasiya olunmamış hücumçu, serveri dəfələrlə yenidən başlatmaq üçün hər bir neçə saniyədən bir eyni saxtalaşdırılmış sorğunu göndərməklə, standart konfiqurasiyalı istənilən Jellyfin serverinə xidmətdən imtina (DoS) hücumu həyata keçirə bilər. IP saxtalaşdırmanın bu metodu həmçinin bəzi təhlükəsizlik mexanizmlərindən yan keçməyə, xidmətdən imtina hücumuna səbəb ola və uzaqdan kodun icrası ilə birləşdirildikdə administratorun yenidən başlatma tələbinə yan keçməyə imkan verə bilər. Bu problem 10.10.7 versiyasında aradan qaldırılıb.