CVE-2023-39024 および CVE-2023-39025 POC

CVE-2023-39024 および CVE-2023-39025（Harman Media Suite）の POC

概要

影響を受けるアプリケーション: Harman Media Suite

影響を受けるバージョン: 4.2.0 以下

説明: Harman Media Suite（バージョン4.2.0以下）は、サーバーサイドリクエストフォージェリ（SSRF）[CVE-2023-39025] および可能性のあるローカルファイル漏洩（LFD）[CVE-2023-39024] に対して脆弱です。これにより、User Portal への匿名アクセスが有効になっている場合、認証されていないユーザーが Media Suite アプリケーション内に保存された添付ファイルや録音をダウンロードできる可能性があります。

必要条件: 「匿名ユーザーに対するUser Portalの表示権限を無効にする」が無効になっている必要があります。デフォルトで有効になっているこの設定により、匿名ユーザーがユーザーポータルを表示できるようになり、無効にするとダウンロード可能なコンテンツのスクレイピングが可能になります。

修正方法: Harman Media Suite V4.2.2 以上にアップグレードし、管理パネルの Configuration > Portal Settings 内で「匿名ユーザーに対するUser Portalの表示権限を無効にする」を有効にしてください。

公開情報: https://mediasuite.harman.com/channel-store