CVE-2023-49096

Jellyfin, medya yönetimi ve akışı için kullanılan bir Özgür Yazılım Medya Sistemi'dir. Etkilenen sürümlerde, mevcut Jellyfin sürümünde bulunan VideosController içerisinde, özellikle `/Videos/<itemId>/stream` ve `/Videos/<itemId>/stream.<container>` uç noktalarında bir argüman enjeksiyonu bulunmaktadır. AudioController içindeki ek uç noktalar da yürütme biçimleri yalnızca küçük farklılıklar gösterdiği için savunmasız olabilir. Bu uç noktalara kimlik doğrulaması yapmamış bir kullanıcı tarafından erişilebilir. Bu zafiyeti istismar etmek için, kimlik doğrulaması yapmamış bir saldırganın tamamen rastgele bir GUID olan itemId değerini tahmin etmesi gerekir; bu durum, çok sayıda öğe içeren büyük bir medya veritabanı için bile oldukça düşük bir ihtimaldir. Ek bir bilgi sızıntısı olmadan, örnek internet üzerinden erişilebilir olsa bile bu zafiyet doğrudan istismar edilemez. Metot tarafından kabul edilen birçok sorgu parametresi vardır. Bunlardan en az ikisi, videoCodec ve audioCodec, argüman enjeksiyonuna karşı savunmasızdır. Değerler birçok kod boyunca izlenebilir ve işlem sırasında değiştirilebilir. Ancak varsayılan durum bunları her zaman olduğu gibi kullanmaktır, bu da kendi argümanlarımızı enjekte edebileceğimiz anlamına gelir. Bu argümanlar FFmpeg komut satırına aktarılır. UseShellExecute her zaman false olarak ayarlandığı için FFmpeg komutu basitçe sonlandırılıp kendi komutumuz çalıştırılamaz. Yalnızca FFmpeg'e ek argümanlar eklemek mümkün olmalıdır ki bu haliyle bile yeterince güçlüdür. Muhtemelen keyfi bir dosyanın kötü amaçlı içerikle üzerine yazılmasının bir yolu vardır. Bu zafiyet 10.8.13 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.