Jellyfin Media Server (Port 8096)
                     /                |                \
                    /                 |                 \
               Web UI            REST API          Media Streams
              (Browser)        (Authenticated)    (Subtitle Upload)
                                     |
                    /System/Info/Public (unauthenticated)
                    /Videos/{itemId}/Subtitles (vulnerable)
                    /Library/Collections (admin)

---

## Analyse Approfondie de la Vulnérabilité

### Analyse de la Cause Racine

La vulnérabilité se trouve dans le point de terminaison de téléchargement de sous-titres (`/Videos/{itemId}/Subtitles`) qui accepte les téléchargements de fichiers et les stocke sur le disque. Le défaut critique réside dans la validation insuffisante du paramètre Format.

#### Schéma de Code Vulnérable

Le point de terminaison traite les téléchargements de sous-titres sans valider ou assainir correctement le champ Format :```
POST /Videos/{itemId}/Subtitles HTTP/1.1
Content-Type: multipart/form-data

[Binary subtitle data]
Format: /../../../etc/ld.so.preload
Language: en

### Analyse de la chaîne d'attaque

La vulnérabilité enchaîne plusieurs faiblesses pour parvenir à une exécution de code à distance en tant que root:```
Step 1: Subtitle Upload with Path Traversal
        POST /Videos/{itemId}/Subtitles
        Format: /../../../etc/ld.so.preload
                    |
                    v
Step 2: Arbitrary File Write
        Write attacker-controlled data to /etc/ld.so.preload
                    |
                    v
Step 3: File Read via .strm Files
        Create .strm files pointing to sensitive paths
        Extract database contents and credentials
                    |
                    v
Step 4: Database Extraction
        Access /jellyfin/jellyfin.db via .strm
        Extract admin user hashes
                    |
                    v
Step 5: Admin Privilege Escalation
        Reset admin password or create new admin account
                    |
                    v
Step 6: RCE via LD_PRELOAD Injection
        LD_PRELOAD=/path/to/malicious.so java
        Arbitrary code execution as root

### LD_PRELOAD Exploitation

L_ technique LD_PRELOAD est une méthode puissante d'élévation de privilèges et d'exécution de code sur les systèmes Linux :```
LD_PRELOAD Injection Flow:

1. Attacker writes malicious .so (shared object) to /etc/ld.so.preload
   
   /etc/ld.so.preload contents:
   /path/to/attacker.so

2. Java process starts (Jellyfin runs on Java):
   
   kernel > execve("java", ...) > glibc initialization
                                     |
                                     v
                          Check /etc/ld.so.preload
                                     |
                                     v
                          Load attacker.so FIRST
                                     |
                                     v
                          Execute attacker code
                          (BEFORE Java main())

3. Code Execution Context:
   
   Process Owner:   root (Jellyfin typically runs as root)
   Permissions:     Full system access
   Timing:          Before application initialization
   Detection:       Minimal (malicious code runs early)

4. Attacker Capabilities:
   
   > Create reverse shell with full root privileges
   > Extract sensitive data before application starts
   > Modify Java application behavior
   > Persist via cron jobs or systemd services
   > Establish C2 communication

---

## Analyse d'impact

### Confidentialité
**CRITIQUE** - Divulgation complète des informations
- Extraction de la base de données : identifiants admin, mots de passe utilisateur, clés API
- Fichiers de sous-titres et métadonnées des médias exposés
- Accès aux fichiers de configuration contenant des données sensibles
- Collecte d'informations système pour une exploitation ultérieure

### Intégrité
**CRITIQUE** - Modification de fichiers à l'échelle du système
- Écriture arbitraire de fichiers vers n'importe quel emplacement sur le disque
- Modification des binaires de l'application
- Altération de la configuration système
- Corruption ou manipulation de la base de données

### Disponibilité
**CRITIQUE** - Interruption de service et déni de service
- Arrêt ou plantage système via un .so malveillant dans LD_PRELOAD
- Épuisement de l'espace disque par écriture de fichiers volumineux
- Terminaison de processus ou famine de ressources
- Indisponibilité totale du service

### Composants affectés
- Processus Jellyfin Media Server (s'exécutant en tant que root dans la plupart des déploiements)
- Noyau du système d'exploitation et bibliothèques
- Médias et métadonnées stockés
- Systèmes d'authentification utilisateur
- Processus à l'échelle du système liés à glibc

### Impact commercial
- **Violation de données :** Tous les identifiants stockés et données utilisateur compromis
- **Interruption de service :** Jellyfin et potentiellement d'autres services deviennent indisponibles
- **Mouvement latéral :** Le système compromis devient un point de pivot pour les attaques réseau
- **Non-conformité réglementaire :** Violations du RGPD, CCPA, HIPAA si des PII sont exposées
- **Risque sur la chaîne d'approvisionnement :** Si Jellyfin dessert des médias partagés ou d'entreprise

---

## Versions affectées

| Version | Statut | Notes |
|---------|--------|-------|
| < 10.8.0 | Vulnérable | Vulnérabilité d'origine présente |
| 10.8.0 - 10.11.6 | Vulnérable | Traversée de chemin et RCE possibles |
| 10.11.7+ | Corrigée | Champ Format correctement validé |
| 10.12.0+ | Corrigée | Dernière version avec correctifs de sécurité |

### Détection de version
La vulnérabilité peut être détectée en vérifiant la chaîne de version depuis le point d'accès `/System/Info/Public` :```
GET /System/Info/Public HTTP/1.1
Host: jellyfin-server:8096

Response:
{
  "ServerName": "MyJellyfin",
  "Version": "10.10.3",  < Vulnerable
  "ProductName": "Jellyfin",
  "StartupWizardCompleted": true
}

#### Utilisation```bash
python CVE-2026-35031_Jellyfin_RCE_detector.py -t 10.0.0.5:8096
python CVE-2026-35031_Jellyfin_RCE_detector.py -t http://10.0.0.0/24
python CVE-2026-35031_Jellyfin_RCE_detector.py -t targets.txt -o results.json

#### Exemple de sortie```
[*] CVE-2026-35031 Jellyfin RCE Detection Scanner
[*] Target: http://10.0.0.5:8096
[*] Scan Time: 2026-04-15T12:00:00Z
[*] Detection method: /System/Info/Public version check
[*] Vulnerable: Jellyfin < 10.11.7

======================================================================
Target: http://10.0.0.5:8096
Scan Time: 2026-04-15T12:00:00Z
Risk Level: CRITICAL
======================================================================
  Is Jellyfin:           YES
  Jellyfin Version:      10.10.3
  Server Name:           MediaServer
  Operating System:      Linux
  Subtitle Endpoint:     Accessible
  Vulnerable:            YES

  *** VULNERABLE: Path traversal in subtitle upload ***
  *** Chains to arbitrary file write and RCE as root via ld.so.preload ***
  *** Upgrade to Jellyfin 10.11.7 immediately ***

======================================================================
Summary:
  Total Targets: 1
  Vulnerable: 1
  Patched: 0
  Unknown: 0
======================================================================

#### Utilisation```bash
# Basic scan
nmap -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Comprehensive scan with service detection
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Scan entire subnet
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.0/24

# Aggressive scanning with timing
nmap -sV -p- --script CVE-2026-35031_Jellyfin_RCE -T4 10.0.0.5

# Export results to XML
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE -oX results.xml 10.0.0.5

#### Paramètres du script```bash
# Custom timeout for slow networks
nmap --script CVE-2026-35031_Jellyfin_RCE --script-args timeout=30 10.0.0.5

# Debug mode for troubleshooting
nmap --script CVE-2026-35031_Jellyfin_RCE -d 10.0.0.5

# Aggressive version detection
nmap -sV --version-intensity 9 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

**Journaux système** (`/var/log/syslog` or `/var/log/messages`)```
subtitle upload process: segmentation fault (core dumped)
kernel: [security] Attempted to load from LD_PRELOAD: /etc/ld.so.preload
ld.so.preload: permission denied or file corrupted
Java process crashed after LD_PRELOAD initialization
Unexpected behavior from root-level Java process

**Chemins de fichiers suspects dans le répertoire des sous-titres**```
/../../../etc/ld.so.preload
/../../../root/.ssh/authorized_keys
/../../../var/lib/jellyfin/jellyfin.db
../../../proc/self/environ

**Connexions sortantes du processus Jellyfin**```
Reverse shells to external IPs
Connections to known C2 infrastructure
DNS requests to anomalous domains
Sudden spike in network traffic after failed subtitle upload

### Indicateurs de base de données

**Modifications de la base de données Jellyfin** (`jellyfin.db`)```
New admin user created outside normal workflow
Admin password changed without admin action
API keys/tokens created unexpectedly
Unusual activity in audit logs

---

## Références

### Sources officielles
- **Entrée NVD :** https://nvd.nist.gov/vuln/detail/CVE-2026-35031
- **Avis GitHub :** https://github.com/jellyfin/jellyfin/security/advisories/GHSA-9p5f-5x8v-x65m
- **Version Jellyfin v10.11.7 :** https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7
- **Documentation Jellyfin :** https://docs.jellyfin.org

### Vulnérabilités et recherches connexes
- CWE-22 : Path Traversal - https://cwe.mitre.org/data/definitions/22.html
- Exploitation LD_PRELOAD : https://www.gnu.org/software/libc/manual/html_node/Dynamic-Linker.html
- Modèles d'escalade de privilèges de processus Java
- Spécifications des formats de fichiers de sous-titres (normes RFC)

### Outils et ressources de sécurité
- Nmap : https://nmap.org
- Metasploit Framework : https://www.metasploit.com
- Guide OWASP Path Traversal : https://owasp.org/www-community/attacks/Path_Traversal

---

## Auteur

**Vulnérabilité découverte et documentée par :**

**Kerem Oruc** (@keraattin)
- GitHub : https://github.com/keraattin
- Twitter/X : https://twitter.com/keraattin

### Contribution

Si vous avez des améliorations à apporter à cette documentation ou aux outils de détection, veuillez soumettre une pull request ou ouvrir une issue.

---

**Avertissement :** Ce document est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est illégal. Obtenez toujours une autorisation appropriée avant de mener des évaluations de sécurité.

**Dernière mise à jour :** 2026-04-15 | **Statut :** PUBLIÉ