Podatności AzuraCast

AzuraCast udostępnia pola konfiguracji Liquidsoap przez punkt końcowy, który nie wymaga uprawnień do ich ochrony. Właściwość backend_config w Station.php jest oznaczona jako GROUP_GENERAL, a punkt końcowy PUT /api/station/{station_id}/profile/edit deserializuje z tą grupą, wymagając tylko uprawnienia StationPermissions::Profile. Metoda fromArray() przypisuje wszystkie publiczne właściwości bez sprawdzania uprawnień na poziomie pola, więc pola custom_config_top, custom_config, custom_config_pre_playlists, custom_config_pre_live, custom_config_pre_fade i custom_config_bottom są zapisywalne. ConfigWriter::writeCustomConfigurationSection() emituje te wartości dosłownie do skryptu .liq, gdzie funkcje process.run() i process.exec() wykonują polecenia systemu operacyjnego po restarcie backendu, co automatycznie wyzwala wbudowane zadanie synchronizacji. Dedykowany punkt końcowy dla tych danych wymaga uprawnień StationPermissions::Broadcasting, więc menedżer stacji z tylko uprawnieniem profilu może uzyskać konfigurację, która powinna być dostępna tylko dla operatorów transmisji.

AzuraCast przed wersją 0.23.6 zawiera podatność w middleware ApplyXForwarded, który bezwarunkowo ufa nagłówkowi X-Forwarded-Host bez listy dozwolonych proxy. Nieuwierzytelniony atakujący może zatruć URL resetowania hasła, wysyłając spreparowany nagłówek podczas żądania resetu. Gdy ofiara kliknie link, token resetu jest przechwytywany przez atakującego, który może przejąć konto i zniszczyć konfigurację 2FA.

Podatność w AzuraCast przed wersją 0.23.6 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania mediami zapisanie dowolnych plików poza katalogiem magazynu stacji poprzez niesanitizowany parametr currentDirectory w punkcie końcowym przesyłania plików Flow.js. Może to prowadzić do zdalnego wykonania kodu przez zapisanie webshella PHP.