AVideo: RTMP コールバック on_publish_done.php を介した認証されていないライブストリームの終了

この脆弱性を悪用すると、攻撃者は認証なしで onpublishdone.php エンドポイントに悪意のある POST リクエストを送信することで、任意のライブストリームを強制的に終了させることができます。攻撃者はまず、認証なしで利用可能なストリームキーを stats.json.php エンドポイントから列挙し、それを使用してライブストリームを停止させます。これにより、プラットフォーム上のすべてのライブストリーミング機能が利用できなくなる可能性があります。この攻撃は、大規模なイベントや重要な放送中に発生した場合、大きな影響を与える可能性があります。攻撃者は、ライブストリーミングサービスを完全に停止させ、ユーザーに混乱と不便をもたらす可能性があります。

Organizations and individuals using the wwbn/avideo Live plugin for live streaming are at risk, particularly those running versions 26.0 and below. Shared hosting environments where multiple users share the same server instance are especially vulnerable, as an attacker could potentially impact all live streams on the server.

• php: Examine web server access logs for POST requests to onpublishdone.php originating from unusual or unauthorized IP addresses. • php: Use grep to search plugin files for the onpublishdone.php endpoint and related code, looking for missing authentication checks. • generic web: Monitor network traffic for POST requests to onpublishdone.php with potentially malicious payloads. • generic web: Check response headers for unusual or unexpected behavior after sending requests to onpublishdone.php.

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. EPSS 更新日2026-04-08

この脆弱性への対応策として、まず、wwbn/avideo を最新バージョンにアップグレードすることを強く推奨します。アップグレードが利用できない場合、一時的な緩和策として、WAF (Web Application Firewall) を導入し、onpublishdone.php エンドポイントへの不正な POST リクエストをブロックするように設定することを検討してください。また、stats.json.php エンドポイントへのアクセスを制限し、認証されたユーザーのみがアクセスできるようにすることで、攻撃者がストリームキーを列挙するのを防ぐことができます。アップグレード後、ライブストリームが正常に開始および終了することを確認することで、修正が適用されていることを検証してください。