CVE-2026-35031: Jellyfin 자막 업로드 경로 순회를 통한 RCE

TL;DR

Jellyfin Media Server의 심각한 경로 순회 취약점으로 인해 "자막 업로드" 권한이 있는 인증된 사용자가 디스크의 임의 위치에 파일을 업로드할 수 있습니다. 자막 업로드 엔드포인트의 검증되지 않은 Format 필드를 악용하면 공격자는 민감한 위치에 파일을 쓰고, 민감한 데이터를 추출하고, 권한을 상승시키고, 궁극적으로 LD_PRELOAD 주입을 통해 루트 권한으로 임의 코드를 실행할 수 있습니다.

CVSS 점수: 9.9 (치명적)
영향받는 버전: Jellyfin < 10.11.7
수정 버전: Jellyfin 10.11.7+
인증 필요: 예 (자막 업로드 권한이 있는 비관리자 사용자)
원격 코드 실행: 예, root 권한으로
공격 복잡도: 낮음

빠른 요약

Jellyfin이란?

Jellyfin은 개인 미디어 컬렉션을 관리하고 스트리밍할 수 있도록 설계된 무료 오픈소스 미디어 서버입니다. 상용 미디어 서버와 유사한 기능을 제공하지만 완전한 소스 코드 투명성과 커뮤니티 통제를 갖추고 있습니다.

주요 기능

자체 호스팅 미디어 스트리밍 (음악, 영화, TV 프로그램)
세분화된 권한 제어를 제공하는 다중 사용자 지원
자막 관리 및 동기화
HTTP/HTTPS로 접근 가능한 웹 기반 인터페이스
크로스 플랫폼 배포 (Linux, Windows, macOS)
다양한 미디어 형식 및 스트리밍 프로토콜 지원

네트워크 아키텍처```

                      Jellyfin Media Server (Port 8096)
                     /                |                \
                    /                 |                 \
               Web UI            REST API          Media Streams
              (Browser)        (Authenticated)    (Subtitle Upload)
                                     |
                    /System/Info/Public (unauthenticated)
                    /Videos/{itemId}/Subtitles (vulnerable)
                    /Library/Collections (admin)

Client Devices > Network > Jellyfin Server > Database + Storage | /var/lib/jellyfin/ /etc/ld.so.preload (writable via vulnerability)

---

## 취약점 심층 분석

### 근본 원인 분석

이 취약점은 자막 업로드 엔드포인트(`/Videos/{itemId}/Subtitles`)에 존재하며, 파일 업로드를 허용하고 디스크에 저장합니다. 핵심 결함은 Format 필드 매개변수의 검증이 충분하지 않다는 점입니다.

#### 취약한 코드 패턴

이 엔드포인트는 Format 필드를 제대로 검증하거나 정화하지 않은 채 자막 업로드를 처리합니다:```
POST /Videos/{itemId}/Subtitles HTTP/1.1
Content-Type: multipart/form-data

[Binary subtitle data]
Format: /../../../etc/ld.so.preload
Language: en

Format 매개변수는 자막 형식(srt, vtt, ass 등)을 지정하기 위한 것이지만, 대신 파일 경로의 일부로 처리됩니다:``` Base Path: /var/lib/jellyfin/subtitles/ User Input: /../../../etc/ld.so.preload Result: /var/lib/jellyfin/subtitles/../../../etc/ld.so.preload Resolved: /etc/ld.so.preload (via path traversal)

### 공격 체인 분석

이 취약점은 여러 약점을 연쇄적으로 연결하여 root 권한으로 원격 코드 실행을 달성합니다:```
Step 1: Subtitle Upload with Path Traversal
        POST /Videos/{itemId}/Subtitles
        Format: /../../../etc/ld.so.preload
                    |
                    v
Step 2: Arbitrary File Write
        Write attacker-controlled data to /etc/ld.so.preload
                    |
                    v
Step 3: File Read via .strm Files
        Create .strm files pointing to sensitive paths
        Extract database contents and credentials
                    |
                    v
Step 4: Database Extraction
        Access /jellyfin/jellyfin.db via .strm
        Extract admin user hashes
                    |
                    v
Step 5: Admin Privilege Escalation
        Reset admin password or create new admin account
                    |
                    v
Step 6: RCE via LD_PRELOAD Injection
        LD_PRELOAD=/path/to/malicious.so java
        Arbitrary code execution as root

경로 탐색 메커니즘```

Input Validation Failure:

Format Field Validation: Expected: srt | vtt | ass | ssa | sub | subrip Actual: /../../../etc/ld.so.preload Result: NO VALIDATION > PATH TRAVERSAL ALLOWED

File Write Operation: String Concatenation: "/subtitles/" + user_format + ".srt" | NO CANONICALIZATION: Path component not resolved before write NO WHITELIST: Format values not restricted NO BOUNDS CHECK: ".." sequences not filtered | v Final Path: /etc/ld.so.preload (EXPLOITED)

### LD_PRELOAD 악용

LD_PRELOAD 기법은 Linux 시스템에서 강력한 권한 상승 및 코드 실행 방법입니다:```
LD_PRELOAD Injection Flow:

1. Attacker writes malicious .so (shared object) to /etc/ld.so.preload
   
   /etc/ld.so.preload contents:
   /path/to/attacker.so

2. Java process starts (Jellyfin runs on Java):
   
   kernel > execve("java", ...) > glibc initialization
                                     |
                                     v
                          Check /etc/ld.so.preload
                                     |
                                     v
                          Load attacker.so FIRST
                                     |
                                     v
                          Execute attacker code
                          (BEFORE Java main())

3. Code Execution Context:
   
   Process Owner:   root (Jellyfin typically runs as root)
   Permissions:     Full system access
   Timing:          Before application initialization
   Detection:       Minimal (malicious code runs early)

4. Attacker Capabilities:
   
   > Create reverse shell with full root privileges
   > Extract sensitive data before application starts
   > Modify Java application behavior
   > Persist via cron jobs or systemd services
   > Establish C2 communication

LD_PRELOAD가 권한 상승으로 작동하는 이유```

User Level Access > Path Traversal > Write /etc/ld.so.preload | v (Next process execution) | Kernel reads /etc/ld.so.preload > Loads attacker .so | v Malicious code executes in root context | v Full system compromise

---

## 영향 분석

### 기밀성
**치명적** - 완전한 정보 공개
- 데이터베이스 추출: 관리자 자격 증명, 사용자 비밀번호, API 키
- 자막 파일 및 미디어 메타데이터 노출
- 민감한 데이터가 포함된 구성 파일 접근
- 추가 악용을 위한 시스템 정보 수집

### 무결성
**치명적** - 시스템 전체 파일 변조
- 디스크의 임의 위치에 임의 파일 쓰기
- 애플리케이션 바이너리 변조
- 시스템 구성 변경
- 데이터베이스 손상 또는 조작

### 가용성
**치명적** - 서비스 중단 및 거부
- LD_PRELOAD의 악성 .so를 통한 시스템 종료 또는 충돌
- 대용량 파일 쓰기를 통한 디스크 공간 고갈
- 프로세스 종료 또는 리소스 고갈
- 완전한 서비스 불가

### 영향을 받는 구성 요소
- Jellyfin 미디어 서버 프로세스 (대부분의 배포에서 root로 실행됨)
- 운영 체제 커널 및 라이브러리
- 저장된 미디어 및 메타데이터
- 사용자 인증 시스템
- glibc에 링크된 시스템 전체 프로세스

### 비즈니스 영향
- **데이터 유출:** 저장된 모든 자격 증명 및 사용자 데이터가 손상됨
- **서비스 중단:** Jellyfin 및 잠재적으로 다른 서비스도 사용 불가능해짐
- **측면 이동:** 손상된 시스템이 네트워크 공격의 거점이 됨
- **규정 위반:** PII가 노출되면 GDPR, CCPA, HIPAA 위반
- **공급망 위험:** Jellyfin이 공유 또는 엔터프라이즈 미디어를 제공하는 경우

---

## 영향을 받는 버전

| 버전 | 상태 | 참고 |
|---------|--------|-------|
| < 10.8.0 | 취약 | 원래 취약점 존재 |
| 10.8.0 - 10.11.6 | 취약 | 경로 탐색 및 RCE 가능 |
| 10.11.7+ | 패치됨 | Format 필드가 올바르게 검증됨 |
| 10.12.0+ | 패치됨 | 보안 수정 사항이 포함된 최신 버전 |

### 버전 탐지
취약점은 `/System/Info/Public` 엔드포인트의 버전 문자열을 확인하여 탐지할 수 있습니다:```
GET /System/Info/Public HTTP/1.1
Host: jellyfin-server:8096

Response:
{
  "ServerName": "MyJellyfin",
  "Version": "10.10.3",  < Vulnerable
  "ProductName": "Jellyfin",
  "StartupWizardCompleted": true
}

탐지

Python 스캐너

CVE-2026-35031_Jellyfin_RCE_detector.py 스크립트는 자동화된 취약점 탐지를 제공합니다.

설치 및 요구 사항```bash

pip install requests urllib3

#### 사용법```bash
python CVE-2026-35031_Jellyfin_RCE_detector.py -t 10.0.0.5:8096
python CVE-2026-35031_Jellyfin_RCE_detector.py -t http://10.0.0.0/24
python CVE-2026-35031_Jellyfin_RCE_detector.py -t targets.txt -o results.json

명령줄 옵션```

-t, --target HOST[:PORT] or CIDR or FILE Single target, IP range, or file with targets -p, --port PORT Custom port (default: 8096) --timeout SECONDS Connection timeout (default: 10) -o, --output FILE Save results to JSON file -v, --verbose Enable verbose logging --no-ssl-verify Disable SSL certificate verification

#### 예제 출력```
[*] CVE-2026-35031 Jellyfin RCE Detection Scanner
[*] Target: http://10.0.0.5:8096
[*] Scan Time: 2026-04-15T12:00:00Z
[*] Detection method: /System/Info/Public version check
[*] Vulnerable: Jellyfin < 10.11.7

======================================================================
Target: http://10.0.0.5:8096
Scan Time: 2026-04-15T12:00:00Z
Risk Level: CRITICAL
======================================================================
  Is Jellyfin:           YES
  Jellyfin Version:      10.10.3
  Server Name:           MediaServer
  Operating System:      Linux
  Subtitle Endpoint:     Accessible
  Vulnerable:            YES

  *** VULNERABLE: Path traversal in subtitle upload ***
  *** Chains to arbitrary file write and RCE as root via ld.so.preload ***
  *** Upgrade to Jellyfin 10.11.7 immediately ***

======================================================================
Summary:
  Total Targets: 1
  Vulnerable: 1
  Patched: 0
  Unknown: 0
======================================================================

탐지 로직

스캐너는 다음 검사를 수행합니다:

서비스 탐지: 대상 포트에 연결하고 HTTP 헤더를 확인합니다.
Jellyfin 확인: /System/Info/Public 엔드포인트를 쿼리합니다.
버전 추출: JSON 응답에서 Version 필드를 파싱합니다.
취약점 평가: 버전을 패치 버전(10.11.7)과 비교합니다.
엔드포인트 확인: 자막 업로드 엔드포인트가 존재하는지 확인합니다.
위험도 계산: 버전에 따른 CVSS 영향을 결정합니다.

Nmap NSE 스크립트

CVE-2026-35031_Jellyfin_RCE.nse 스크립트는 취약점 스캐닝을 위해 Nmap과의 통합을 제공합니다.

설치```bash

Copy to Nmap scripts directory

sudo cp CVE-2026-35031_Jellyfin_RCE.nse /usr/share/nmap/scripts/

Update Nmap database

sudo nmap --script-updatedb

#### 사용법```bash
# Basic scan
nmap -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Comprehensive scan with service detection
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

# Scan entire subnet
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.0/24

# Aggressive scanning with timing
nmap -sV -p- --script CVE-2026-35031_Jellyfin_RCE -T4 10.0.0.5

# Export results to XML
nmap -sV -p 8096 --script CVE-2026-35031_Jellyfin_RCE -oX results.xml 10.0.0.5

예제 출력```

PORT STATE SERVICE VERSION 8096/tcp open http Jellyfin Media Server 10.10.3 | CVE-2026-35031_Jellyfin_RCE: | VULNERABLE: | Jellyfin Subtitle Path Traversal to RCE (CVE-2026-35031) | State: VULNERABLE | Risk level: CRITICAL | CVSS Score: 9.9 | Jellyfin Version: 10.10.3 | Fixed Version: 10.11.7 | Description: | Jellyfin 10.10.3 is vulnerable to CVE-2026-35031. The subtitle | upload endpoint (/Videos/{itemId}/Subtitles) does not validate | the Format field, allowing path traversal and arbitrary file write. | This chains into remote code execution as root via LD_PRELOAD. | Vulnerability Chain: | 1. POST /Videos/{itemId}/Subtitles with Format=/../../../etc/ld.so.preload | 2. Arbitrary file write to /etc/ld.so.preload | 3. Database extraction via .strm files | 4. Admin privilege escalation | 5. RCE as root via LD_PRELOAD injection | Affected Endpoint: /Videos/{itemId}/Subtitles | Authentication Required: YES (non-admin user) | References: | https://nvd.nist.gov/vuln/detail/CVE-2026-35031 | https://github.com/jellyfin/jellyfin/security/advisories/GHSA-9p5f-5x8v-x65m |_ https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7

#### 스크립트 매개변수```bash
# Custom timeout for slow networks
nmap --script CVE-2026-35031_Jellyfin_RCE --script-args timeout=30 10.0.0.5

# Debug mode for troubleshooting
nmap --script CVE-2026-35031_Jellyfin_RCE -d 10.0.0.5

# Aggressive version detection
nmap -sV --version-intensity 9 --script CVE-2026-35031_Jellyfin_RCE 10.0.0.5

침해 지표

로그 지표

Jellyfin 서버 로그 (/var/log/jellyfin/jellyfin.log)``` [ERR] Error processing subtitle upload: Invalid path characters detected [ERR] Exception in subtitle handling: DirectoryNotFoundException [ERR] Unauthorized file system access attempt [WARN] Unusual subtitle format detected: /../../../ [ERR] Security violation: Path traversal attempt blocked

**시스템 로그** (`/var/log/syslog` or `/var/log/messages`)```
subtitle upload process: segmentation fault (core dumped)
kernel: [security] Attempted to load from LD_PRELOAD: /etc/ld.so.preload
ld.so.preload: permission denied or file corrupted
Java process crashed after LD_PRELOAD initialization
Unexpected behavior from root-level Java process

파일 시스템 지표

수정된 시스템 파일``` /etc/ld.so.preload - Should not contain any paths if not configured /lib/x86_64-linux-gnu/ - Look for suspicious .so files created recently /var/lib/jellyfin/subtitles - Check for files outside normal naming /etc/passwd - Verify no unauthorized access or modification /var/lib/jellyfin/db - Database timestamps may indicate extraction

**자막 디렉토리의 의심스러운 파일 경로**```
/../../../etc/ld.so.preload
/../../../root/.ssh/authorized_keys
/../../../var/lib/jellyfin/jellyfin.db
../../../proc/self/environ

네트워크 지표

의심스러운 HTTP 요청``` POST /Videos/[0-9]+/Subtitles

Format parameter contains: /.. or ..\ patterns
Format parameter contains absolute paths starting with /
Format parameter does not match known subtitle formats

Encoded Payloads: %2e%2e%2f (URL encoded ../) ..%252f (Double encoded ../) ....// (Bypass patterns)

**Jellyfin 프로세스의 아웃바운드 연결**```
Reverse shells to external IPs
Connections to known C2 infrastructure
DNS requests to anomalous domains
Sudden spike in network traffic after failed subtitle upload

프로세스 지표

Jellyfin 프로세스 이상``` java process executing system commands java process spawning shell processes (/bin/bash, /bin/sh) java process opening connections to unusual ports java process reading system files like /etc/shadow Unusual CPU or memory usage spikes Child processes with different UID than parent

### 데이터베이스 지표

**Jellyfin 데이터베이스 변경 사항** (`jellyfin.db`)```
New admin user created outside normal workflow
Admin password changed without admin action
API keys/tokens created unexpectedly
Unusual activity in audit logs

해결 방법

즉시 조치 (우선순위: CRITICAL)

즉시 Jellyfin을 업그레이드하세요 ```bash

Docker deployment

docker pull jellyfin/jellyfin:latest docker-compose down docker-compose up -d

Package manager (Ubuntu/Debian)

sudo apt-get update sudo apt-get install --only-upgrade jellyfin

Package manager (Fedora/RHEL)

sudo dnf upgrade jellyfin
Jellyfin 서비스 중지 ```bash sudo systemctl stop jellyfin
악용 여부 확인 ```bash

Check if ld.so.preload was modified

ls -la /etc/ld.so.preload cat /etc/ld.so.preload

Check subtitle directory for suspicious files

find /var/lib/jellyfin/subtitles -type f -newer /proc -ls

Check Jellyfin data directory

find /var/lib/jellyfin -type f -newermt "2026-04-14" -ls

단기 완화 조치 (우선순위: 높음)

자막 업로드 권한 제한 ``` Jellyfin Web UI > Settings > Users Disable "Upload Subtitles" for all non-admin users Review all users with this permission
네트워크 분할 ```

Only allow trusted networks to access Jellyfin

sudo ufw allow from 192.168.1.0/24 to any port 8096 sudo ufw deny from any to any port 8096
파일 시스템 권한 ```bash

Ensure Jellyfin runs with minimal privileges

sudo usermod -s /usr/sbin/nologin jellyfin

Restrict ld.so.preload permissions

sudo chmod 644 /etc/ld.so.preload sudo chmod 644 /etc/ld.so.conf

Set proper permissions on Jellyfin directory

sudo chown -R jellyfin:jellyfin /var/lib/jellyfin sudo chmod 750 /var/lib/jellyfin
악용 시도 모니터링 ```bash

Watch subtitle upload endpoint logs

tail -f /var/log/jellyfin/jellyfin.log | grep -i subtitle

장기적 강화 (우선순위: 중간)

웹 애플리케이션 방화벽(WAF) 구현 ``` Block requests containing:
- Path traversal patterns: ../ ..\ ..\
- Suspicious file paths: /etc/ /root/ /proc/
- Encoded variations: %2e%2e%2f
보안 모듈 활성화 ```bash

AppArmor (Ubuntu/Debian)

sudo aa-enforce /etc/apparmor.d/usr.bin.java

SELinux (Fedora/RHEL)

sudo semanage fcontext -a -t jellyfin_home_t "/var/lib/jellyfin(/.*)?" sudo restorecon -R /var/lib/jellyfin
Jellyfin을 루트가 아닌 사용자로 실행 ```bash

Create dedicated user if not exists

sudo useradd -r -s /usr/sbin/nologin jellyfin

Update systemd service

sudo sed -i 's/User=.*/User=jellyfin/' /etc/systemd/system/jellyfin.service sudo systemctl daemon-reload sudo systemctl restart jellyfin
정기 백업 구현 ```bash

Automated daily backups

sudo crontab -e

0 2 * * * /usr/local/bin/jellyfin-backup.sh

검증 단계```bash

1. Verify Jellyfin version after upgrade

curl -s http://localhost:8096/System/Info/Public | jq .Version

2. Confirm no unauthorized ld.so.preload entries

cat /etc/ld.so.preload | wc -l # Should be 0 or contain only legitimate entries

3. Check Jellyfin process permissions

ps aux | grep jellyfin | grep -v grep

4. Verify subnet connectivity restrictions

sudo ufw status

5. Test subtitle upload with non-admin user (should work normally)

Try uploading a legitimate .srt file and confirm it's stored correctly

---

## 참조

### 공식 출처
- **NVD 항목:** https://nvd.nist.gov/vuln/detail/CVE-2026-35031
- **GitHub 권고:** https://github.com/jellyfin/jellyfin/security/advisories/GHSA-9p5f-5x8v-x65m
- **Jellyfin 릴리스 v10.11.7:** https://github.com/jellyfin/jellyfin/releases/tag/v10.11.7
- **Jellyfin 문서:** https://docs.jellyfin.org

### 관련 취약점 및 연구
- CWE-22: 경로 탐색 - https://cwe.mitre.org/data/definitions/22.html
- LD_PRELOAD 악용: https://www.gnu.org/software/libc/manual/html_node/Dynamic-Linker.html
- Java 프로세스 권한 상승 패턴
- 자막 파일 형식 사양 (RFC 표준)

### 보안 도구 및 리소스
- Nmap: https://nmap.org
- Metasploit Framework: https://www.metasploit.com
- OWASP 경로 탐색 가이드: https://owasp.org/www-community/attacks/Path_Traversal

---

## 작성자

**취약점 발견 및 문서화:**

**Kerem Oruc** (@keraattin)
- GitHub: https://github.com/keraattin
- Twitter/X: https://twitter.com/keraattin

### 기여

이 문서나 탐지 도구에 대한 개선 사항이 있으면 풀 리퀘스트를 제출하거나 이슈를 열어 주세요.

---

**면책 조항:** 이 문서는 교육 및 허가된 보안 테스트 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다. 보안 평가를 수행하기 전에 항상 적절한 승인을 받으십시오.

**최종 업데이트:** 2026-04-15 | **상태:** 게시됨

CVE ID	CVE-2026-35031
CVSS 점수	9.9 (치명적)
CWE	CWE-22: 제한된 디렉터리의 경로명에 대한 부적절한 제한 ('Path Traversal')
영향받는 제품	Jellyfin Media Server
영향받는 버전	< 10.11.7
수정 버전	10.11.7 이상
취약점 유형	경로 순회 + 임의 파일 쓰기 + RCE
인증 필요	예 (비관리자 사용자)
필요한 권한	"자막 업로드" 권한
기본 포트	8096/TCP
GitHub 보안 권고	GHSA-9p5f-5x8v-x65m
패치 상태	제공 및 배포됨
공개 익스플로잇	예

CVE-2026-35031

인기

Monitor system logs for ld.so.preload changes

Verify backup integrity

Log all file access to sensitive locations

Monitor process execution from Jellyfin

CVE-2026-35031

인기

CVE-2026-35031: Jellyfin 자막 업로드 경로 순회를 통한 RCE

TL;DR

목차

빠른 요약

Jellyfin이란?

주요 기능

네트워크 아키텍처```

경로 탐색 메커니즘```

LD_PRELOAD가 권한 상승으로 작동하는 이유```

탐지

Python 스캐너

설치 및 요구 사항```bash

명령줄 옵션```

탐지 로직

Nmap NSE 스크립트

설치```bash

Copy to Nmap scripts directory

Update Nmap database

예제 출력```

침해 지표

로그 지표

파일 시스템 지표

네트워크 지표

프로세스 지표

해결 방법

즉시 조치 (우선순위: CRITICAL)

Docker deployment

Package manager (Ubuntu/Debian)

Package manager (Fedora/RHEL)

Check if ld.so.preload was modified

Check subtitle directory for suspicious files

Check Jellyfin data directory

단기 완화 조치 (우선순위: 높음)

Only allow trusted networks to access Jellyfin

Ensure Jellyfin runs with minimal privileges

Restrict ld.so.preload permissions

Set proper permissions on Jellyfin directory

Watch subtitle upload endpoint logs

장기적 강화 (우선순위: 중간)

AppArmor (Ubuntu/Debian)

SELinux (Fedora/RHEL)

Create dedicated user if not exists

Update systemd service

Automated daily backups

0 2 * * * /usr/local/bin/jellyfin-backup.sh