Κρίσιμη ευπάθεια διακομιστή Emby Επιτρέπει στους επιτιθέμενους να αποκτήσουν πρόσβαση διαχειριστή

Ανακαλύφθηκε μια κρίσιμη ευπάθεια στον Emby Server που επιτρέπει σε μη επιβεβαιωμένους εισβολείς να αποκτήσουν πλήρη διαχειριστική πρόσβαση στα επηρεαζόμενα συστήματα.

Παρακολούθηση ως CVE-2025-64113 με βαθμολογία σοβαρότητας 9,3 στα 10 (CVSS v4), αυτή η αδυναμία επηρεάζει τόσο τις σταθερές όσο και τις beta εκδόσεις του δημοφιλούς λογισμικού διακομιστή πολυμέσων.

Η ευπάθεια προέρχεται από έναν αδύναμο μηχανισμό ανάκτησης κωδικού πρόσβασης (CWE-640) στο σύστημα ελέγχου ταυτότητας του διακομιστή Emby.

Οι εισβολείς μπορούν να εκμεταλλευτούν αυτό το ελάττωμα μέσω του ForgotPassword API χωρίς ειδικά προνόμια ή αλληλεπίδραση με τον χρήστη. Η επίθεση είναι απλή στην εκτέλεση και απαιτεί μόνο πρόσβαση δικτύου σε μια ευάλωτη παρουσία διακομιστή Emby.

Μόλις γίνει εκμετάλλευση, ένας εισβολέας αποκτά πλήρη διαχειριστικό έλεγχο του διακομιστή, επιτρέποντάς του να τροποποιήσει τις ρυθμίσεις, να αποκτήσει πρόσβαση στα αποθηκευμένα δεδομένα και ενδεχομένως να θέσει σε κίνδυνο ολόκληρη τη βιβλιοθήκη πολυμέσων.

Η ευπάθεια επηρεάζει όλους τους χρήστες που εκτελούν εκδόσεις Emby Server έως 4.9.1.80 (σταθερή έκδοση) και 4.9.2.6 (έκδοση beta).

Η κρίσιμη φύση αυτού του ελαττώματος σημαίνει ότι οποιαδήποτε εκτεθειμένη παρουσία διακομιστή Emby σε ένα δίκτυο κινδυνεύει άμεσα.

Οι προγραμματιστές Emby έχουν κυκλοφορήσει ενημερώσεις κώδικα που αντιμετωπίζουν αυτήν την ευπάθεια. Οι χρήστες θα πρέπει να ενημερώσουν την έκδοση 4.9.1.90 για σταθερές εκδόσεις ή την έκδοση 4.9.2.7 για εκδόσεις beta.

Επιπλέον, μια γρήγορη επιδιόρθωση θα διανεμηθεί αυτόματα μέσω των προεπιλεγμένων προσθηκών Emby Server.

Ενεργοποίηση ταχείας ανάπτυξης σε όλη τη βάση χρηστών χωρίς να απαιτούνται μη αυτόματες ενημερώσεις. Σύμφωνα με το συμβουλευτικόςόλοι οι κάτοχοι διακομιστή Emby ενθαρρύνονται να εφαρμόσουν αμέσως τις διαθέσιμες ενημερώσεις κώδικα.

Μέχρι να εγκατασταθούν οι ενημερώσεις, οι διαχειριστές μπορούν να εφαρμόσουν μια προσωρινή λύση ορίζοντας περιορισμένα δικαιώματα συστήματος αρχείων στο αρχείο passwordreset.txt που βρίσκεται στο φάκελο διαμόρφωσης διακομιστή Emby.

Σε συστήματα Windows, απορρίψτε τα δικαιώματα για “Επαληθευμένους χρήστες”, ενώ σε συστήματα Linux, χρησιμοποιήστε το chmod 444 passwordreset.txt για να περιορίσετε την πρόσβαση.