CVE-2026-41470
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
LIVE555 przed wersją 2026.04.22 zawiera podatność na obejście autoryzacji w obsłudze poleceń sesji RTSP, która pozwala atakującym na powtórne użycie ważnych tokenów sesji z nieuwierzytelnionych połączeń. Atakujący, którzy zdobędą ważny token sesji, mogą wydawać polecenia PLAY i TEARDOWN z drugiego połączenia TCP bez uwierzytelnienia, powodując awarie serwera przez błędy wywołań funkcji wirtualnych lub zakłócanie aktywnych strumieni przez zakończenie sesji ofiary.
Ocena ryzyka
Atakujący może spowodować awarię serwera lub przerwać aktywne sesje strumieniowe, co prowadzi do odmowy usługi dla legalnych użytkowników.
Rekomendacja
Należy zaktualizować LIVE555 do wersji 2026.04.22 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
LIVE555 before 2026.04.22 contains an authorization bypass vulnerability in RTSP session command handling that allows attackers to replay valid Session tokens from unauthenticated connections. Attackers who obtain a valid Session token can issue PLAY and TEARDOWN commands from a second TCP connection without authentication, causing server crashes through virtual function call errors or disrupting active streams by terminating victim sessions.