WWBN AVideo-Encoder: Unauthentifizierte Command Injection über Streamer-Login-Vertrauen

Zusammenfassung

Der Live-Streaming-Endpunkt view/videosListToLive.php in AVideo-Encoder vertraut einer vom Aufrufer gelieferten Streamer-URL und einer entfernten Videoliste und prüft den Streamer nicht gegen eine Allowlist. Videopfade aus dieser entfernten Liste werden ohne Escaping in ffprobe- und ffmpeg-Shell-Befehle übernommen. Ein nicht authentifizierter Angreifer, der einen über HTTP erreichbaren Dienst bereitstellen kann, der vom Encoder erreichbar ist, kann beliebige Betriebssystembefehle als Benutzer des Webservers ausführen, Datenbank- und gespeicherte Streamer-Zugangsdaten auslesen und Dateien verändern.

Betroffen

• WWBN AVideo-Encoder Versionen vor 8.1.0
• Der VulDB-Eintrag beschreibt bis 8.0.x; die genaue früheste betroffene Version ist unbekannt.

Behoben in

• Behoben in Version 8.1.0 (Commit 99b8ad9).

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme.
• Netzwerkzugriff auf die Endpunkte des Encoders auf bekannte Streamer-IP-Adressen beschränken.
• Ausgehende Verbindungen des Encoder-Hosts einschränken.

Ausnutzung

• Gemäss Angaben nicht in freier Wildbahn ausgenutzt; CISA-KEV-Status: nicht aufgeführt.
• Das GHSA-Advisory beschreibt eine Reproduktion mit Nachweis durch Dateischreibzugriff und einem Out-of-Band-Callback; ein eigenständiger öffentlicher Exploit wurde nicht verifiziert.

Unsere Empfehlung

• Alle AVideo-Encoder-Instanzen jetzt inventarisieren und feststellen, ob sie aus dem Internet erreichbar sind.
• Auf Version 8.1.0 aktualisieren und die zugehörigen Encoder-Korrekturen aus derselben Serie einspielen (CVE-2026-61571, CVE-2026-61564).
• Bis zum Patch die Internetexposition und die ausgehenden Verbindungen des Encoder-Hosts einschränken.
• Falls eine Instanz mit verwundbarer Version exponiert lief, Logs prüfen und gespeicherte Zugangsdaten rotieren.
• Den Status der Bedrohungsinformationen in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 99b8ad9 github.com
• Release v8.1.0 github.com
• GHSA-rf63-6vwm-wv8p advisory github.com
• VulDB CVE-2026-61567 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:53.