AVideo-Encoder: Nicht authentifizierte Server-Side Request Forgery

Zusammenfassung

AVideo-Encoder vor 8.1.0 erlaubt es einem nicht authentifizierten Angreifer aus dem Netzwerk, den Server Anfragen an beliebige Ziele senden zu lassen, einschliesslich privater, Loopback- und Link-Local-Adressen, wobei die TLS-Peer-Verifikation deaktiviert ist. Der Angreifer kann interne HTTP- und HTTPS-Antworten auslesen, einschliesslich Zugangsdaten aus Cloud-Instanz-Metadaten, und interne TCP- und FTP-Dienste erreichen. Es ist weder ein Konto noch eine Interaktion durch einen Benutzer nötig, und die Standardkonfiguration erlaubt alle Sites, wenn die Allowlist leer ist. Version 8.1.0 ist nur eine erste Korrektur; laut CVE-Beschreibung bleiben die Varianten für das interne Netzwerk und für TLS ungelöst.

Betroffen

• WWBN AVideo-Encoder vor 8.1.0 (laut CNA-Daten)
• Hinweis: Ein Tracker (VulDB) nennt 'bis 8.0.x' sowie eine andere CWE und Bewertung; dies widerspricht dem CVE-Eintrag und ist nicht verifiziert.

Behoben in

• Version 8.1.0 (nur erster Korrekturversuch)
• Keine spätere korrigierte Version bekannt. Der Hersteller hat die vollständige Behebung der Varianten für das interne Netzwerk und für TLS nicht bestätigt.

Umgehung

• Es ist kein offizieller Workaround veröffentlicht.
• allowPrivateNetworkURLs explizit auf false setzen, falls der Encoder keine Streamer im privaten Netzwerk erreichen muss (vorgängig testen).
• Ausgehenden Verkehr vom Encoder-Host einschränken; Cloud-Metadaten-Adressen, interne Dienste und ausgehendes FTP sperren, sofern nicht benötigt.
• Login- und Admin-Seiten des Encoders nicht aus dem Internet erreichbar machen; VPN oder IP-Allowlist verwenden.

Ausnutzung

• Die CISA-SSVC-Bewertung im CNA-Eintrag führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'yes'.
• Andere Tracker melden keinen bestätigten öffentlichen Proof of Concept.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Keine bestätigte Ausnutzung in freier Wildbahn; Status unbekannt.

Unsere Empfehlung

• Mindestens auf Version 8.1.0 aktualisieren.
• Die oben genannten Workarounds umsetzen, insbesondere den ausgehenden Zugriff vom Encoder-Host einschränken.
• Falls der Host in einer Cloud läuft, Härtung der Instanz-Metadaten aktivieren und möglicherweise exponierte Zugangsdaten rotieren.
• Web- und Firewall-Logs auf Anfragen an interne Adressen oder Metadaten-Endpunkte prüfen.
• Zuerst die verwandten nicht authentifizierten AVideo-Encoder-Advisories (Code-Injection im Installer, Befehlsausführung) prüfen, da sie schwerwiegender sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit 60430ee (fix) github.com
• AVideo-Encoder release v8.1.0 github.com
• GitHub Security Advisory GHSA-cvhm-j9cp-8w59 github.com
• Strix: CVE-2026-61572 www.strix.ai
• OffSeq Radar: CVE-2026-61572 radar.offseq.com
• The Hacker Wire: CVE-2026-61572 www.thehackerwire.com
• VulDB: CVE-2026-61572 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:51.