n4nj0/cve-2021-35492Denial of Service tool for Wowza Streaming Engine <= 4.8.11+5 - Uncontrolled Resource Consumption (CVE-2021-35492)
漏洞标题： Wowza Streaming Engine 4.8.11+5 - 拒绝服务
CVE： CVE-2021-35492
日期： 2021-10-06
漏洞作者： N4nj0
软件链接： https://www.wowza.com/products/streaming-engine
版本： 4.8.11+5
测试环境： Wowza Streaming Engine <= 4.8.11+5
漏洞公告： https://n4nj0.github.io/advisories/wowza-streaming-engine-i/
TWowza Streaming Engine（原名 Wowza Media Server）是一款由位于美国科罗拉多州的 Wowza Media Systems 开发的统一流媒体服务器软件，被美国众多政府机构（如 NASA、美国空军、波音公司、纽约警察局）以及全球许多其他客户使用。
我发现了一个未受控的资源消耗问题，远程攻击者可通过 /enginemanager/server/vhost/historical.jsdata 的 vhost 参数耗尽文件系统资源。成功利用该漏洞可导致数据库错误，并使设备对基于 Web 的管理失去响应。
./dos-exploit-wse.py -u http://wse.local:8088 -s CDA32846E8763F62293AAE42FA72C86B
./dos-exploit-wse.py --url http://wse.local:8088 --session CDA32846E8763F62293AAE42FA72C86B
