オープンソースのAVideoプラットフォームに存在する脆弱性は認証を必要とせず、攻撃者がリモートからコマンドを実行し、影響を受けるサーバーを乗っ取ることを可能にする。
この脆弱性の悪用は「…サーバーの完全な侵害、データの窃取（設定上の秘密情報、内部キー、認証情報など）、サービスの停止につながる可能性がある」と研究者らは述べた。
AVideoサーバー乗っ取りのリスク。
AVideoは、組織が独自の動画ストリーミング基盤をホスティングおよび管理できるオープンソースプラットフォームだ。
AVideoは通常、インターネットに公開されたサーバー上で稼働するため、脆弱性を悪用されると、攻撃者にストリームを乗っ取られたり、バックエンドシステムにアクセスされたり、ホスティングサーバーを永続的に制御されたりする可能性がある。
この脆弱性はCVE-2026-29058として追跡されており、AVideoプラットフォームのobjects/getImage.phpコンポーネントにおけるコマンドインジェクションの欠陥に起因する。
このコンポーネントは、プラットフォームのインターフェース全体で使用される画像の取得に関するリクエストを処理する役割を担う。
AVideoのコマンドインジェクションの仕組み。
この問題は、base64Urlというパラメーターを含むリクエストをアプリケーションが処理する際に発生する。
リクエストを受信すると、プラットフォームはユーザーが提供したBase64エンコード値をデコードし、そのデコード済みデータを、動画や画像の操作を処理するマルチメディア処理ツールffmpegの呼び出しに使うシェルコマンドへ直接挿入する。
アプリケーションは標準的なURLフィルタリング関数を使って入力を検証しようとするが、この検証で確認されるのは、提供された値が構文上有効なURLに見えるかどうかだけだ。
攻撃者がコマンド実行を操作するために利用できる危険なシェル文字やコマンド置換シーケンスは、サニタイズされない。
デコードされた入力が適切にエスケープされないままシェルコマンドに挿入されるため、攻撃者は細工したBase64ペイロードを送信し、ffmpegの実行プロセスにコマンドを注入できる。
注入されたコマンドは、ウェブアプリケーションプロセスの権限で実行される。
AVideoの脆弱性による潜在的な影響。
この脆弱性はネットワーク経由でアクセスでき、認証も必要としないため、細工したリクエストによって攻撃者に悪用される可能性があり、リスクは一段と高まる。
悪用された場合、攻撃者はコマンドの実行、マルウェアの展開、認証情報や設定データの窃取、ストリーミングサービスの妨害を行える可能性がある。
この脆弱性へのパッチはリリース済みであり、公開時点で悪用の報告はない。
AVideoの脆弱性によるリスクの低減。
AVideoを運用する組織は、コマンドインジェクションのリスクに対処する必要がある。対策を講じなければ、攻撃者によるコードの実行、マルウェアの展開、ストリーミングサービスの妨害を許す可能性がある。
- パッチを適用しAVideoを最新バージョンに更新して、ユーザー入力を適切にサニタイズし、コマンドインジェクションを防止する。
- Webサーバーのルール、リバースプロキシ、または厳格なIP許可リストを使って、objects/getImage.phpエンドポイントへのアクセスを制限する。
- Webアプリケーションファイアウォール（WAF）ツールを導入することで、疑わしいBase64エンコードペイロードやコマンドインジェクションのパターンを検知してブロックできるようにする。
- 監視しサーバーログ、コマンド実行アクティビティ、送信ネットワーク接続を悪用や異常な挙動の兆候がないか確認する。
- AVideoサービスと関連コンポーネントを最小権限で実行し、可能な限りコンテナまたはサンドボックスを使って分離する。
- 脆弱な画像取得コンポーネントを無効にする。通常のプラットフォーム運用に必要ない場合は、攻撃対象領域を縮小するために無効化する。
- 定期的にテストしインシデント対応計画、そして攻撃シミュレーションをサーバー侵害シナリオについて実施する。
これらの対策を組み合わせることで、侵害発生時の被害範囲を抑えるとともに、攻撃の検知、封じ込め、復旧に向けた組織の能力を強化できる。
オープンソースソフトウェアのリスク。
今回の脆弱性は、入力検証の弱点によってインターネットに公開されたプラットフォームがコマンドインジェクションのリスクにさらされる可能性を示している。
オープンソースプラットフォームは柔軟性と透明性を提供する一方、組織には脆弱性を積極的に監視し、アップデートを適用することも求められる。
こうしたリスクを背景に、組織はゼロトラストソリューションへと移行している。これらは侵害を前提とし、アクセスを継続的に検証する。