Podatności AzuraCast

AzuraCast przed wersją 0.24.0 zawiera lukę podatności na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom z uprawnieniem do WebHooks stacji obejść zabezpieczenie SSRF UserUrlFilter poprzez przekierowania HTTP. Atakujący mogą skonfigurować webhooki Mastodon, Telegram, GroupMe lub RadioReg wskazujące na przekierowujący URL, powodując, że klient Guzzle dociera do usług wewnętrznych i ujawnia odpowiedzi poprzez logi testowe.

AzuraCast w wersjach przed 0.24.0 zawiera podatność na wstrzyknięcie formuły CSV (stored CSV formula injection), która pozwala użytkownikom stacji z uprawnieniem Media na utrwalenie metadanych z prefiksem formuły poprzez masowy import mediów. Atakujący może zaimportować spreparowane tytuły, wykonawców lub pola niestandardowe przez /api/station/{station_id}/files/bulk, aby formuły zostały wykonane, gdy inni użytkownicy otworzą wyeksportowane pliki CSV w arkuszach kalkulacyjnych.

AzuraCast przed 0.24.0 zawiera podatność na wstrzyknięcie CRLF, umożliwiającą użytkownikom stacji o niskich uprawnieniach wstrzykiwanie wpisów playlisty poprzez osadzanie sekwencji CR/LF w wartościach display_name mount lub remote relay. Atakujący z uprawnieniami Station:MountPoints lub Station:RemoteRelays mogą wstrzyknąć linie FileN= i TitleN= do publicznego playlist.pls, aby przekierować słuchaczy do strumieni kontrolowanych przez atakującego pod nazwą stacji ofiary.

AzuraCast w wersjach przed 0.24.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala użytkownikom stacji z uprawnieniem WebHooks na obejście zabezpieczenia UserUrlFilter poprzez konektory Mastodon, Telegram, GroupMe i RadioReg. Atakujący może ustawić instance_url, api lub webhookurl na adresy wewnętrzne i wywołać punkt końcowy testu webhooka, aby dotrzeć do usług loopback, sieci prywatnej lub metadanych chmury.

AzuraCast przed wersją 0.24.0 zawiera lukę braku autoryzacji w routach GET i POST /api/station/{station_id}/waveform/{media_id}, które nie mają middleware Permissions. Każdy uwierzytelniony użytkownik bez przypisania do stacji może odczytać buforowany JSON waveform innej stacji i nadpisać go danymi atakującego, uszkadzając dane Visual Cue Editor.

AzuraCast do wersji 0.23.8 zawiera podatność na wstrzyknięcie poleceń, która pozwala użytkownikom stacji z uprawnieniem Profile na wykonywanie poleceń systemowych poprzez ustawienia StereoTool. Atakujący mogą wstrzyknąć metaznaki powłoki do stereo_tool_configuration_path lub stereo_tool_license_key, które są wykonywane przez /bin/sh przy restarcie stacji, kompromitując kontener.

AzuraCast do wersji 0.23.8 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym menedżerom stacji na wstrzyknięcie konfiguracji Supervisora poprzez pole strefy czasowej stacji. Atakujący mogą przesłać strefę czasową zawierającą znaki nowej linii do API edycji profilu, definiując nowy program Supervisora, który wykonuje polecenia systemowe jako root przy regeneracji konfiguracji.

AzuraCast do wersji 0.23.8 nie usuwa frontend_config.custom_config w PUT /station/{id}/profile/edit dla użytkowników bez uprawnienia Manage station broadcasting, a zapisany JSON jest zapisywany dosłownie jako linie key=value do pliku Shoutcast sc_serv.conf. Uwierzytelniony użytkownik z samym uprawnieniem Manage station profile może nadpisać adminpassword, password i portbase lub wstrzyknąć dowolne dyrektywy poprzez znaki nowej linii w kluczach, przejmując frontend Shoutcast stacji.

AzuraCast przed wersją 0.23.4 zawiera podatność wstrzykiwania kodu w metodzie ConfigWriter::cleanUpString(), która nie sanitizuje sekwencji interpolacji Liquidsoap. Uwierzytelnieni użytkownicy z uprawnieniami Media lub Profile mogą wstrzyknąć dowolny kod Liquidsoap do konfiguracji stacji, co prowadzi do wykonania poleceń powłoki jako użytkownik azuracast przy restarcie stacji.

AzuraCast przed wersją 0.23.6 zawiera podatność wstrzykiwania kodu w polu hasła zdalnego przekaźnika z powodu niepełnej migracji z podatnej metody cleanUpString do toRawString. Atakujący z uprawnieniami RemoteRelays mogą wstrzyknąć zagnieżdżoną składnię interpolacji Liquidsoap, aby wykonać dowolny kod w procesie Liquidsoap, ujawnić wewnętrzne klucze API lub zakłócić działanie stacji.

AzuraCast przed wersją 0.23.6 zawiera brak sprawdzenia uprawnień w punkcie końcowym GET /api/station/{station_id}/file/{id}/play, co pozwala uwierzytelnionym użytkownikom na pobieranie plików multimedialnych z dowolnej stacji. Atakujący mogą enumerować pliki za pomocą sekwencyjnych identyfikatorów i eksfiltrować całą bibliotekę multimediów stacji, do których nie mają uprawnień.

AzuraCast przed wersją 0.23.6 nie stosuje middleware RequireInternalConnection na punkcie końcowym API Liquidsoap i błędnie wyprowadza flagę AutoDJ z obecności nagłówka, a nie z jego zweryfikowanej wartości. Użytkownicy z uprawnieniem View station mogą wstrzykiwać dowolne metadane now-playing, zakłócać transmisje na żywo i ujawniać ścieżki systemu plików.

W AzuraCast przed wersją 0.23.8 publiczny punkt końcowy pobierania On-Demand nie weryfikuje kontroli dostępu na poziomie playlisty, co pozwala nieuwierzytelnionym użytkownikom na pobieranie plików multimedialnych wykluczonych z playlist z włączonym On-Demand. Atakujący mogą ominąć zamierzone ograniczenia dostępu, bezpośrednio żądając mediów za pomocą prawidłowych identyfikatorów, ujawniając prywatne lub zastrzeżone treści audio.

Podatność na wstrzykiwanie poleceń w AzuraCast przed wersją 0.23.8, występująca w generowaniu konfiguracji Liquidsoap dla nagrań na żywo. Brak odpowiedniego cytowania nazwy użytkownika streamera w wywołaniach process.run.

AzuraCast przed wersją 0.23.8 zawiera podatność uszkodzonej kontroli dostępu w endpointcie GET /api/station/{id}/vue/profile, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem View Station Page odczytanie haseł administratora, źródła i przekaźnika Icecast/Shoutcast. Atakujący z dostępem tylko do podglądu może wywołać ten endpoint i otrzymać jawne poświadczenia frontendu w odpowiedzi JSON, a następnie użyć hasła administratora do uwierzytelnienia w interfejsie administracyjnym Icecast bez uprawnień Broadcasting.

AzuraCast przed wersją 0.23.8 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) i odczyt lokalnych plików w funkcji pobierania zdalnej playlisty AutoDJ (getMediaFromRemoteUrl()). Użytkownik z uprawnieniami Media może utworzyć playlistę z source=remote_url i remote_type=playlist, wskazując na ścieżkę file:// lub wewnętrzny adres HTTP. Gdy AutoDJ buduje kolejkę, backend przekazuje URL bezpośrednio do file_get_contents() bez listy dozwolonych schematów ani polityki IP, co umożliwia odczyt plików hosta (np. /etc/passwd lub .env) i treści wewnętrznych żądań HTTP. Brak dostępnej wersji z poprawką w momencie publikacji.

AzuraCast przed wersją 0.23.8 zawiera podatność SSRF w walidacji URL webhooka. Walidacja odrzuca tylko adresy IP link-local, ale nie blokuje adresów loopback ani prywatnych, a nazwy hostów niebędące adresami IP całkowicie omijają sprawdzenie. Użytkownik z uprawnieniami WebHooks może skonfigurować webhook wskazujący na wewnętrzne zasoby i wywołać żądanie HTTP POST z danymi Now Playing.

AzuraCast przed wersją 0.23.8 zawiera podatność SSRF w walidacji URL Remote Relay. Walidacja sprawdza tylko składnię URL i schemat http/https, bez ograniczeń dotyczących hosta lub adresu IP. Użytkownik z uprawnieniami RemoteRelays może ustawić URL wskazujący na loopback, sieć prywatną lub adresy metadata chmury, a automatyczna synchronizacja Now Playing będzie wysyłać żądania do tych adresów.

AzuraCast przed wersją 0.23.8 zawiera podatność wstrzykiwania DQL w parametrze sortOrder w AbstractSearchableListAction.php. Atakujący może wstrzykiwać dowolne wyrażenia DQL, aby wyodrębnić wrażliwe dane z bazy, w tym dane uwierzytelniające użytkowników i ustawienia stacji.

AzuraCast udostępnia pola konfiguracji Liquidsoap przez punkt końcowy, który nie wymaga uprawnień do ich ochrony. Właściwość backend_config w Station.php jest oznaczona jako GROUP_GENERAL, a punkt końcowy PUT /api/station/{station_id}/profile/edit deserializuje z tą grupą, wymagając tylko uprawnienia StationPermissions::Profile. Metoda fromArray() przypisuje wszystkie publiczne właściwości bez sprawdzania uprawnień na poziomie pola, więc pola custom_config_top, custom_config, custom_config_pre_playlists, custom_config_pre_live, custom_config_pre_fade i custom_config_bottom są zapisywalne. ConfigWriter::writeCustomConfigurationSection() emituje te wartości dosłownie do skryptu .liq, gdzie funkcje process.run() i process.exec() wykonują polecenia systemu operacyjnego po restarcie backendu, co automatycznie wyzwala wbudowane zadanie synchronizacji. Dedykowany punkt końcowy dla tych danych wymaga uprawnień StationPermissions::Broadcasting, więc menedżer stacji z tylko uprawnieniem profilu może uzyskać konfigurację, która powinna być dostępna tylko dla operatorów transmisji.

AzuraCast przed wersją 0.23.6 zawiera podatność w middleware ApplyXForwarded, który bezwarunkowo ufa nagłówkowi X-Forwarded-Host bez listy dozwolonych proxy. Nieuwierzytelniony atakujący może zatruć URL resetowania hasła, wysyłając spreparowany nagłówek podczas żądania resetu. Gdy ofiara kliknie link, token resetu jest przechwytywany przez atakującego, który może przejąć konto i zniszczyć konfigurację 2FA.

Podatność w AzuraCast przed wersją 0.23.6 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania mediami zapisanie dowolnych plików poza katalogiem magazynu stacji poprzez niesanitizowany parametr currentDirectory w punkcie końcowym przesyłania plików Flow.js. Może to prowadzić do zdalnego wykonania kodu przez zapisanie webshella PHP.

AzuraCast w wersji 0.23.1 omyłkowo udostępnia publicznie endpoint API przeznaczony do wewnętrznego użytku przez oprogramowanie SFTP sftpgo. Użytkownik posiadający szczegółową wiedzę o działaniu stacji może spreparować żądanie HTTP wpływające na zawartość bazy danych stacji. Podatność została naprawiona w wersji 0.23.2.