Original

Jellyfinはオープンソースのセルフホスト型メディアサーバーです。バージョン10.11.7より前のバージョンには、LiveTVのM3Uチューナーエンドポイント（POST /LiveTv/TunerHosts）に脆弱性チェーンが存在します。ここではチューナーのURLが検証されないため、HTTP以外のパスを介してローカルファイルを読み取ったり、HTTP URLを介してサーバーサイドリクエストフォージェリ（SSRF）を行ったりできます。この脆弱性は、EnableLiveTvManagement権限が全ての新規ユーザーにデフォルトでtrueに設定されているため、認証済みのユーザーであれば誰でも悪用できます。攻撃者は、自身が管理するサーバーを指すM3Uチューナーを追加し、Jellyfinのデータベースを指すチャンネルを含む細工されたM3Uを提供します。そして、データベースから管理者のセッショントークンを抽出し、管理者権限に昇格します。このようにして脆弱性を連鎖的に悪用できます。この問題はバージョン10.11.7で修正されました。ユーザーがすぐにアップグレードできない場合は、すべてのユーザーのLive TV管理権限を無効にすることで対処できます。