Broadcast Live Video – Live Streaming : HTML5, WebRTC, HLS, RTSP, RTMP <= 4.27.4 - Arbitrary File Upload en Videowhisper Live Streaming Integration (subida arbitraria de archivos) - version 4.29.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Broadcast Live Video – Live Streaming' que permite la carga arbitraria de archivos. Esta falla afecta a las versiones hasta la 4.27.4 y tiene un CVSS de 9.8, lo que la convierte en un riesgo significativo para la seguridad de las instalaciones afectadas.

Contexto técnico

El fallo se origina en la funcionalidad de carga de archivos del plugin, que no valida adecuadamente los tipos de archivos permitidos. Esto permite a un atacante cargar archivos maliciosos en el servidor, lo que puede comprometer la integridad del sistema.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código arbitrario en el servidor, permitiendo al atacante tomar control total del sitio web. Esto puede llevar a la pérdida de datos, alteración de contenidos y daños a la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la carga de archivos maliciosos a través de formularios de subida que no implementan las restricciones adecuadas, lo que les permite ejecutar scripts en el servidor.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.29.5 o superior. Además, se debe revisar la configuración de permisos de archivos y aplicar medidas de seguridad adicionales como firewalls y escaneo de archivos subidos.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de acceso al servidor que indiquen cargas de archivos inusuales o la ejecución de scripts no autorizados.

Alcance afectado

Las versiones del plugin afectadas son todas las versiones hasta la 4.27.4. Las instalaciones que utilizan estas versiones están en riesgo y deben ser actualizadas de inmediato.