یک آسیب‌پذیری امنیتی با شدت High در نرم‌افزار AzuraCast (نسخه‌های پیش از 0.23.4) شناسایی شده است که منجر به امکان تزریق کد (Code Injection) می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در متد ConfigWriter::cleanUpString() رخ داده است. دلیل اصلی این مشکل، عدم پاک‌سازی (Sanitization) مناسب توالی‌های مربوط به Liquidsoap string interpolation است. این موضوع به کاربران احرازهویت شده که دارای دسترسی‌های Media یا Profile هستند اجازه می‌دهد تا کدهای دلخواه Liquidsoap را در پیکربندی ایستگاه (Station Configuration) تزریق کنند.
سناریوی حمله
عامل تهدید می‌تواند با استفاده از عبارت‌های #{process.run()} در فیلدهای متادیتای ایستگاه یا URLهای مربوط به لیست پخش (Playlist)، دستورات Shell را اجرا کند. این دستورات در هنگام ری‌استارت شدن ایستگاه، تحت کاربر azuracast اجرا شده و منجر به Remote Code Execution (RCE) می‌گردند.
راهکار مقابله
- به‌روزرسانی سریع سیستم به نسخه 0.23.4 یا نسخه‌های جدیدتر.
- بازبینی دسترسی‌های کاربران با سطح Media و Profile برای محدود کردن سطح دسترسی‌های غیرضروری.
