n4nj0/cve-2021-35492Wowza Streaming Engine <= 4.8.11+5용 서비스 거부(DoS) 도구 - 통제되지 않은 리소스 소비 (CVE-2021-35492)
익스플로잇 제목: Wowza Streaming Engine 4.8.11+5 - 서비스 거부
CVE: CVE-2021-35492
날짜: 2021-10-06
익스플로잇 작성자: N4nj0
소프트웨어 링크: https://www.wowza.com/products/streaming-engine
버전: 4.8.11+5
테스트 환경: Wowza Streaming Engine <= 4.8.11+5
취약점 권고: https://n4nj0.github.io/advisories/wowza-streaming-engine-i/
Wowza Streaming Engine(Wowza Media Server로도 알려짐)은 미국 콜로라도에 본사를 둔 Wowza Media Systems가 개발한 통합 스트리밍 미디어 서버 소프트웨어로, NASA, 미 공군, 보잉, 뉴욕 경찰청 등 많은 미국 정부 기관과 전 세계의 많은 고객들이 사용하고 있습니다.
저는 /enginemanager/server/vhost/historical.jsdata vhost 매개변수를 통해 원격 공격자가 파일 시스템 리소스를 고갈시킬 수 있는 제어되지 않은 리소스 소비를 발견했습니다. 성공적인 익스플로잇을 통해 공격자는 데이터베이스 오류를 유발하고 장치가 웹 기반 관리에 응답하지 않도록 만들 수 있습니다.
./dos-exploit-wse.py -u http://wse.local:8088 -s CDA32846E8763F62293AAE42FA72C86B
./dos-exploit-wse.py --url http://wse.local:8088 --session CDA32846E8763F62293AAE42FA72C86B
