PT-2020-11251 · Wowza · Wowza Streaming Engine

Drunkenshells · Publicado 2020-01-29 · Atualizado 2022-10-14 · CVE-2019-7655

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Wowza Streaming Engine versões 4.8.0 e anteriores

Wowza Streaming Engine versões 4.7.7 e 4.7.8

Descrição

O problema decorre de múltiplas vulnerabilidades XSS autenticadas. Estas podem ser exploradas através do campo customList%5B0%5D.value em “enginemanager/server/serversetup/edit adv.htm” da configuração Server Setup ou do campo host em “enginemanager/j spring security check” do formulário de login.

Recomendações

Para as versões 4.8.0 e anteriores do Wowza Streaming Engine, atualize para a versão 4.8.5 ou posterior para resolver o problema.

Para as versões 4.7.7 e 4.7.8 do Wowza Streaming Engine, atualize para a versão 4.8.5 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao campo customList%5B0%5D.value na configuração do Server Setup e ao campo host no formulário de login para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2019-7655

Produtos afetados

Wowza Streaming Engine

Referências · 7

• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2019-7655-XSS-Wowza · Exploit
• https://wowza.com/pricing/installer · Aviso do Fabricante
• https://t.me/cvenotify/592 · Publicação no Telegram
• https://raw.githubusercontent.com/WowzaMediaSystems/public_cve/main/wowza-streaming-engine/CVE-2019-7655.txt · Nota
• https://wowza.com/docs/wowza-streaming-engine-4-8-5-release-notes · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2019-7655 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-7655 · Nota de Segurança