🛡️ CVE-2025-13315 - Twonky Server 8.5.2 中的严重身份验证绕过漏洞

未经验证的攻击者可以绕过 API 身份验证，从日志中泄露管理员凭据，并获得完全管理员访问权限。

📋 概述

CVE-2025-13315 是 Rapid7 在 Twonky Server 8.5.2（Linux 和 Windows）中发现的一个严重访问控制缺陷。

攻击者可以通过一条替代路由路径 (/nmc/rpc/) 访问特权 RPC 端点，从而绕过身份验证检查。这允许泄露包含管理员用户名和加密密码的应用程序日志文件。

结合 CVE-2025-13316（硬编码的 Blowfish 加密密钥），攻击者可以解密凭据并获得对媒体服务器的完全管理控制权——包括所有存储的媒体文件。

⚠️ 重要提示：供应商（Lynx Technology）已声明目前没有可用补丁。

🛠️ 漏洞详情

根因

• 之前的修复仅保护了 /rpc/ 端点。
• /nmc/rpc/ 前缀仍然允许未经验证地访问诸如 log_getfile 等敏感端点。

🔥 概念验证 (PoC)

GET /nmc/rpc/log_getfile HTTP/1.1
Host: target.twonkyserver.local

该请求返回的应用程序日志中包含类似以下的行：

accessuser=admin
accesspwd=<encrypted_password>

随后，可以使用硬编码的 Blowfish 密钥解密该密码（参见 CVE-2025-13316）。

🧪 利用影响

• ✅ 泄露管理员用户名 + 加密密码
• ✅ 解密凭据（与 CVE-2025-13316 配合使用）
• ✅ 完全管理员登录
• ✅ 对所有媒体文件的完全控制
• ✅ 远程服务器关闭/重新配置
• ✅ 潜在的数据泄露或勒索软件部署

🛡️ 缓解措施与建议

由于不存在官方补丁，请立即采取以下紧急步骤：

1. 隔离服务器 — 将 Twonky Server 置于严格的反向代理或 WAF 之后。
2. 阻止危险的路径：
   • 阻止 /nmc/rpc/log_getfile
   • 如果可能，阻止所有 /nmc/rpc/ 端点
3. 使用 CrowdSec / WAF 规则 — 现已存在针对 vpatch-CVE-2025-13315 的规则。
4. 更改管理员密码为强唯一值（如果可以访问）。
5. 考虑替代方案 — 迁移到能够定期接收安全更新的现代 DLNA/UPnP 媒体服务器（例如 Jellyfin、Plex 或 Emby）。
6. 网络分段 — 切勿将 Twonky Server 直接暴露在互联网上。

📚 参考资料

• Rapid7 官方公告
• NVD 详情
• GitHub 安全公告 (GHSA-x96r-v3vc-578h)
• SiteGuarding 技术分析

📄 许可协议

本仓库仅供教育和防御性安全用途。