AVideo Multi-Chain Attack: クローンキーの開示、データベースダンプ、およびコマンドインジェクションを介した認証されていないリモートコード実行

AVideoのCloneSiteプラグインにおけるCVE-2026-33478は、認証されていない攻撃者がリモートコード実行を達成できる一連の脆弱性により、重大なリスクをもたらします。問題は、認証なしでclones.json.phpエンドポイントを介してクローンシークレットキーを公開することにあります。これらのキーは、cloneServer.json.phpを介して完全なデータベースダンプをトリガーするために使用できます。結果として得られるダンプには、MD5形式で保存された管理者パスワードハッシュが含まれており、これは簡単にクラックできます。管理者アクセスを取得すると、攻撃者はrsyncコマンドの構築内のOSコマンドインジェクションを悪用し、サーバー全体を侵害します。利用可能な修正プログラムがないことは状況を悪化させ、ユーザーを脆弱な状態に放置します。

Organizations utilizing AVideo CloneSite plugin versions 26.0 and earlier are at significant risk. This includes businesses using AVideo for video cloning and management, particularly those with publicly accessible instances of the plugin. Shared hosting environments where multiple users share the same server are also at increased risk, as a compromise of one user's instance could potentially lead to the compromise of others.

• php: Examine web server access logs for requests to /clones.json.php and /cloneServer.json.php without authentication. • php: Search plugin files for the rsync command and any user-controlled input used in its construction. Look for instances where user input is directly incorporated into the command without proper sanitization. • linux / server: Monitor system logs (e.g., /var/log/syslog, /var/log/auth.log) for unusual processes or commands being executed, particularly those related to rsync. • generic web: Use curl to test the /clones.json.php endpoint without authentication. A successful response indicates the vulnerability is present.

curl http://your-avideo-server/clones.json.php

1. 2026-03-20Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-03-20
3. 更新日2026-04-08
4. EPSS 更新日2026-03-31

CVE-2026-33478に対する公式な修正プログラムがないため、最も効果的な即時の軽減策は、AVideoのCloneSiteプラグインを無効化または削除することです。プラグインが不可欠な場合は、データベースアクセスを制限したり、パスワードポリシーを強化したり（MD5の使用を避ける）、サーバーを疑わしいアクティビティに対して積極的に監視したりするなど、追加のセキュリティ対策を実装することを検討してください。さらに、プラグインのソースコードを調べて手動で脆弱性を特定して修正することをお勧めしますが、これにはかなりの技術的専門知識が必要です。サーバーソフトウェアを最新の状態に保ち、一般的なセキュリティパッチを適用することも、リスクを軽減するのに役立ちます。公式なソリューションがリリースされるまで、CloneSiteプラグインの代替手段を探すことを強くお勧めします。