CVE-2026-84479: 2FA-bypass i WWBN AVideo via User-Agent

Sårbarheden findes i WWBN AVideo, en selvhostet platform til video- og streamingtjenester. Tre sikkerhedskontroller, totrinsgodkendelse (2FA), spærring efter gentagne loginforsøg og registrering i login-historikken, afhænger udelukkende af værdien i HTTP-headeren User-Agent, som klienten selv sender. Systemet tjekker kun, om headeren indeholder teksten AVideoEncoder eller AVideoMobileApp, uden at kontrollere afsenderens IP-adresse eller bruge en hemmelig nøgle. Fejltypen kaldes CWE-290, autentificering baseret på data, som angriberen selv kan ændre. En angriber, der allerede har et gyldigt brugernavn og kodeord, kan derfor logge ind og undgå både 2FA og logning ved blot at ændre en tekststreng i sin browser eller sit angrebsværktøj.

Alle organisationer, der selv drifter WWBN AVideo på den aktuelle udgave e01e41ecc eller ældre, er berørt. Det gælder typisk medievirksomheder, uddannelsesinstitutioner og kommuner, der bruger platformen til interne videoarkiver, e-læring eller streaming. Er 2FA slået til for administratorer eller redaktører, rammer sårbarheden direkte den beskyttelse, man har sat sin lid til.

Har en angriber først fået fat i gyldige loginoplysninger, for eksempel via phishing eller genbrugte adgangskoder fra et andet lækage, kan vedkommende omgå 2FA fuldstændigt og logge ind uden at blive registreret i login-historikken. Det betyder, at et kompromitteret konto kan bruges i lang tid, uden at it-afdelingen opdager det ved en normal logmæssig gennemgang. I praksis kan angriberen tilgå og læse indhold, som kontoen har adgang til, herunder eventuelt fortrolige videoer eller persondata. Fejlen giver ikke mulighed for at lægge systemet ned, men den giver fuld adgang til fortrolig information og mulighed for at ændre data under dække af en legitim bruger.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver netværksadgang, ingen forudgående rettigheder på systemet og ingen handling fra en anden bruger. Til gengæld kræver det, at angriberen allerede har et gyldigt brugernavn og kodeord, det er ikke en fuldstændig login-fri omgåelse. Kompleksiteten er lav, det kræver blot at ændre en header i en HTTP-forespørgsel. Konsekvensen er høj for fortrolighed og integritet, mens tilgængeligheden ikke påvirkes. Der er ikke oplyst om aktiv udnyttelse eller offentligt tilgængelig angrebskode på offentliggørelsestidspunktet, men angrebet er teknisk enkelt at gennemføre, når man kender metoden.

Der findes endnu ingen officiel rettelse. Indtil da bør I indføre en midlertidig løsning og skærpe overvågningen.

1. Blokér eller fjern User-Agent-værdierne AVideoEncoder og AVideoMobileApp på jeres reverse proxy eller WAF for alle login-relaterede sider, så headeren ikke længere kan bruges til at omgå kontrollerne.
2. Gennemgå login-logs og webserverlogs for forespørgsler med disse User-Agent-strenge, både før og efter I indfører blokeringen.
3. Indfør IP-baseret adgangsbegrænsning til encoder- og mobilapp-funktionerne, så kun kendte, betroede IP-adresser kan bruge dem.
4. Tving et kodeordsskift for administratorer og redaktører, da omgåelsen forudsætter gyldige loginoplysninger.
5. Følg WWBN AVideo-projektets meddelelser og opdatér til en rettet udgave, så snart den udkommer.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv har kompetencerne til at konfigurere WAF-regler eller gennemgå logs for spor af misbrug.