AVideoにおいて、画像ダウンロードエンドポイントのHTTPリダイレクト経由でSSRF保護を回避される

AVideo の CVE-2026-33766 は、攻撃者がサーバーサイドリクエストフォージェリ (SSRF) 攻撃を実行することを可能にします。isSSRFSafeURL() コンポーネントは、URL の IP アドレスを検証することで SSRF を防止しようとしますが、urlgetcontents() が HTTP リダイレクトを追跡した後、ターゲット URL を再検証しません。これにより、攻撃者は初期の URL が安全に見えても、内部リソースへのリクエストをシステムに送信するよう誘導できます。リダイレクト後の再検証の欠如により、実装されている保護を回避でき、内部ネットワーク内の機密情報の漏洩や不正なアクションにつながる可能性があります。この欠陥の重大性は、その潜在的なインフラストラクチャの侵害にあります。

Organizations utilizing wwbn/avideo versions 26.0 and earlier, particularly those with exposed web applications or internal services accessible via HTTP, are at risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the SSRF vulnerability to access resources belonging to other users.

• php: Examine access logs for requests containing unusual redirects or targeting internal IP addresses. Use grep to search for patterns like Location: http://internal-ip/. • generic web: Use curl to test for redirect vulnerabilities: curl -v <target_url> | grep Location • generic web: Monitor response headers for unexpected redirects. Look for Location headers pointing to internal resources. • php: Review the objects/functions.php file for the vulnerable isSSRFSafeURL() and urlgetcontents() functions. Check for modifications that might bypass the validation logic.

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-26
3. 更新日2026-04-08
4. EPSS 更新日2026-04-04

現在、AVideo 開発者から公式な修正プログラムは提供されていません。最も効果的な即時の軽減策は、urlgetcontents() を使用する機能を一時的に無効にすること、またはリモートコンテンツの取得に依存するすべての機能を無効にすることです。長期的な解決策として、修正プログラムが利用可能になったら AVideo をパッチされたバージョンに更新することを強くお勧めします。さらに、HTTP リダイレクトごとにターゲット URL を再検証するようにコードに検証を追加することで、最終的なリクエストが安全なリソースを指していることを確認できます。AVideo のセキュリティアップデートを監視し、セキュリティパッチを適時に適用することが重要です。