OvenMediaEngine: Denial of Service durch übergrosse Payload-Länge im OVT-Relay

Zusammenfassung

OvenMediaEngine bis Version 0.21.0 enthält eine Denial-of-Service-Schwachstelle im OVT-Paketparser (OvtPacket::LoadHeader). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann präparierte OVT-Pakete mit einer payload_length über 32750 an den OVT-Listener senden. Dadurch werden Verbindungen unbegrenzt offengehalten und gepufferter Speicher akkumuliert. Dies kann das Relay der Streams vom Origin zum Edge stören. Nur Installationen, die den OVT-Listener betreiben und aus dem Netzwerk erreichbar machen, sind gefährdet.

Betroffen

• OvenMediaEngine alle Versionen bis 0.21.0
• Relevant nur, wenn der OVT-Listener aktiviert und erreichbar ist, typischerweise für das Origin-Edge-Relay

Behoben in

Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden. VulDB empfiehlt Version 0.21.1 oder neuer, dies konnte jedoch nicht verifiziert werden.

Umgehung

• Keine vom Hersteller bestätigte Massnahme vorhanden.
• OVT-Listener deaktivieren, falls er nicht benötigt wird.
• OVT-Ports (Standard 9000, TLS 9001) auf der Firewall auf bekannte Origin- und Edge-IP-Adressen beschränken.
• Rate-Limits und Grössenbeschränkungen für OVT-Verkehr auf Netzwerkebene anwenden (allgemeine Empfehlung, nicht verifiziert).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn gemeldet.
• Kein öffentlicher Exploit und keine Scanner-Vorlage im OffSeq-Snapshot indexiert.
• Das Upstream-Issue #2330 beschreibt den Auslöser und ein Reproduktionssetup öffentlich, was den Aufwand zur Reproduktion senkt.

Unsere Empfehlung

• Prüfen, ob OvenMediaEngine den OVT-Listener betreibt und ob dieser aus dem Internet erreichbar ist.
• OVT deaktivieren oder auf bekannte IP-Adressen beschränken, bis eine korrigierte Version bestätigt ist.
• Auf die korrigierte Version des Herstellers aktualisieren, sobald verfügbar; Advisory GHSA-c237-3r77-c8g5 und die Release-Seite von OvenMediaEngine prüfen.
• Verbindungsanzahl und Speicherverbrauch des OvenMediaEngine-Servers überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory for CVE-2026-118689 www.vulncheck.com
• OvenMediaEngine GitHub repository github.com
• OvenMediaEngine issue #2330 github.com
• OvenMediaEngine commit ce316146 github.com
• OvenMediaEngine v0.21.0 ovt_depacketizer.cpp github.com
• VulDB entry for CVE-2026-118689 vuldb.com
• OffSeq Radar entry for CVE-2026-118689 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:45.