AVideo には、aVideoEncoder.json.php の downloadURL を介した認証済みサーバーサイドリクエストフォージェリ (SSRF) が存在します。

このSSRF脆弱性は、認証された攻撃者がAVideoサーバーを通じて任意のURLへのリクエストを送信することを可能にします。これにより、攻撃者は内部ネットワーク上の機密情報（データベース、APIエンドポイント、管理インターフェースなど）にアクセスできる可能性があります。例えば、内部のデータベースサーバーにアクセスして情報を窃取したり、他の内部サービスを悪用して攻撃を拡大させたりする可能性があります。攻撃範囲は、内部ネットワークの構成に依存しますが、機密情報の漏洩やシステムへの不正アクセスにつながる可能性があります。

Organizations utilizing AVideo versions prior to 22.0, particularly those with internal services accessible via the network, are at risk. Shared hosting environments where multiple users share the same AVideo instance are also particularly vulnerable, as a compromised user account could be leveraged to exploit the SSRF vulnerability.

• php: Examine access logs for requests to aVideoEncoder.json.php with unusual or unexpected downloadURL parameters. Look for URLs pointing to internal IP addresses or non-standard ports.

grep 'aVideoEncoder.json.php' access.log | grep 'downloadURL='

• generic web: Use curl to test the endpoint with a known internal URL and verify that the request is blocked.

curl -v 'http://<avideo_server>/aVideoEncoder.json.php?downloadURL=http://169.254.169.254/mgmt/inventory' 

• generic web: Check response headers for unexpected content types or error messages indicating an internal server error when attempting an SSRF request.

1. 2026-02-25Disclosure

   disclosure

1. 予約済み2026-02-23
2. 公開日2026-02-25
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずAVideoをバージョン22.0以降にアップグレードすることを推奨します。アップグレードが困難な場合は、WAF（Web Application Firewall）を導入し、downloadURLパラメータに対する入力検証ルールを追加することで、SSRF攻撃を軽減できます。また、内部ネットワークへのアクセスを制限するネットワークセグメンテーションを実施することも有効です。さらに、aVideoEncoder.json.phpエンドポイントへのアクセスを厳格に制限し、不要なアクセスを防止する設定変更も検討してください。アップグレード後、downloadURLパラメータに対する検証が適切に機能していることを確認してください。