PT-2021-18251 · Jellyfin · Jellyfin

Hydragyrum + 2 · Publicado 2021-05-05 · Atualizado 2021-05-13 · CVE-2021-29490

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.8

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Jellyfin anteriores à 10.7.3

Descrição:

A vulnerabilidade permite ataques de falsificação de solicitação do lado do servidor (SSRF) sem autenticação por meio do parâmetro imageUrl, expondo potencialmente servidores HTTP internos e externos ou outros recursos disponíveis via HTTP GET que sejam visíveis a partir do servidor Jellyfin.

Recomendações:

Para versões anteriores à 10.7.3, atualize para a versão 10.7.3 para resolver o problema.

Como solução alternativa temporária, considere desativar o acesso externo aos pontos de extremidade da API “/Items/*/RemoteImages/Download”, “/Items/RemoteSearch/Image” e “/Images/Remote” por meio de proxy reverso, ou limite o acesso a endereços IP conhecidos como confiáveis.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2021-29490

GHSA-RGJW-4FWC-9V96

Produtos afetados

Jellyfin

Referências · 3

• https://github.com/jellyfin/jellyfin/security/advisories/GHSA-rgjw-4fwc-9v96 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-29490 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-29490 · Aviso do Fabricante