- Son 7 gün
- CWE-15
CVE-2026-121427
AzuraCast'te frontend_config.custom_config ile Shoutcast yapılandırma enjeksiyonu
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yayın yapan radyo istasyonlarının yayın sunucularının denetimini başkalarına geçirebilir. Yayın kesintisi, yetkisiz yayın ve marka itibarında zarar gibi iş riskleri doğurabilir. Sistemi kullanan tüm yönetim hesaplarının yetkilerini gözden geçirmek ve güncelleme planını hemen başlatmak önemlidir.
ÖzetTürkçe
AzuraCast 0.23.8 ve öncesi sürümlerinde, PUT /station/{id}/profile/edit isteğinde frontend_config.custom_config alanı, istasyon yayın yönetimi yetkisi olmayan kullanıcılar için temizlenmiyor. Kaydedilen JSON içeriği doğrudan anahtar=değer satırları olarak Shoutcast sc_serv.conf dosyasına yazılıyor. Yalnızca istasyon profilini düzenleme yetkisine sahip kimliği doğrulanmış kullanıcılar etkilenir.
Saldırgan ne yapabilir?
Saldırgan adminpassword, password ve portbase gibi ayarları değiştirebilir ya da anahtarlara yerleştirdiği satır sonu karakterleriyle yapılandırmaya keyfi yönergeler ekleyebilir. Bu, istasyonun Shoutcast yayın arayüzünün ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
AzuraCast through 0.23.8 fails to remove frontend_config.custom_config in PUT /station/{id}/profile/edit for users lacking the Manage station broadcasting permission, and the stored JSON is written verbatim as key=value lines into the Shoutcast sc_serv.conf file. An authenticated user with only the Manage station profile permission can override adminpassword, password, and portbase, or inject arbitrary directives via newlines in keys, hijacking the station's Shoutcast frontend.
Ne yapmalı?
- Bu kayıt için üreticinin belirttiği düzeltilmiş sürüm bilgisi veri kaynağında yer almıyor. AzuraCast kurulumunuz 0.23.8 ve öncesi bir sürümse, üreticinin güncel kararlı sürümünü takip edip en kısa sürede yükseltme yapın. Genel öneri
- İstasyon profilini düzenleme yetkisine sahip kullanıcıların listesini çıkarın ve gereksiz yetkileri kaldırın. İstasyon yayın yönetimi yetkisi olmayan kullanıcıların profil düzenleme erişimini kısıtlayın. Genel öneri
- Shoutcast sc_serv.conf dosyasında beklenmeyen anahtarlar ya da adminpassword, password ve portbase değerlerinde yetkisiz değişiklik olup olmadığını kontrol edin. Şüpheli bir değişiklik bulursanız ilgili parolaları hemen yenileyin. Genel öneri
- Profil düzenleme yetkisi olan hesapların parolalarını yenileyin, şüpheli hesapların oturumlarını sonlandırın ve gerekirse bu hesapları geçici olarak devre dışı bırakın. Genel öneri
Ek önlemler
- Yönetici paneline erişimi ve yetki atamalarını düzenli olarak denetleyin, en az ayrıcalık ilkesini uygulayın. Genel öneri
- Yapılandırma dosyalarında beklenmeyen değişiklikleri izlemek için dosya bütünlük kontrolü veya günlük izleme uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AzuraCast | ≤ 0.23.8 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.