O Twonky Server versão 8.5.2 contém duas vulnerabilidades críticas de desvio de autenticação que permitem que invasores não autenticados roubem credenciais de administrador e assumam o controle total do servidor de mídia.
Pesquisadores de segurança da Rapid7 descobriram que um invasor pode vazar senhas de administrador criptografadas por meio de um sistema desprotegido. Ponto de extremidade da APIem seguida, descriptografe-os usando chaves de criptografia codificadas incorporadas diretamente no binário do aplicativo.
O fornecedor recusou-se a emitir patches, deixando cerca de 850 instâncias expostas publicamente em risco imediato.
Como funciona o ataque
A cadeia de vulnerabilidades combina duas falhas separadas em um desvio completo de autenticação.
Primeiro, os invasores exploram um desvio de controle de acesso da API (CVE-2025-13315) enviando solicitações para /nmc/rpc/log_getfileendpoint sem credenciais de autenticação.
Este endpoint deveria estar protegido, mas permanece acessível através de roteamento alternativo.
Quando acessado, o endpoint retorna arquivos de log do aplicativo contendo a senha criptografada do administrador.
A segunda vulnerabilidade (CVE-2025-13316) torna o roubo senha criptografada inútil para defesa.
O Twonky Server usa criptografia Blowfish para proteger senhas de administrador, mas as chaves de criptografia são codificadas diretamente no binário compilado.
O aplicativo armazena senhas no formato||{KEY_INDEX}{ENCRYPTED_PASSWORD}, tornando trivial para os invasores identificar qual das doze chaves codificadas foi usada para criptografia.
Com essas informações, os invasores podem descriptografar a senha em segundos usando bibliotecas Blowfish disponíveis publicamente.
Depois que um invasor obtém credenciais de administrador, ele tem controle total sobre a instância do Twonky Server.
Isso inclui acesso a todos os arquivos de mídia armazenados, a capacidade de desligar o servidor, modificar configurações e potencialmente migrar para outros sistemas na rede.
O Twonky Server normalmente é executado em dispositivos NAS, roteadores e sistemas embarcados, tornando os comprometimentos bem-sucedidos particularmente perigosos em ambientes domésticos e de pequenas empresas.
O módulo Metasploit lançado com esta divulgação demonstra a cadeia completa de exploração: um invasor pode extrair credenciais criptografadas em segundos e descriptografá-las para obter senhas de administrador em texto simples.
Não são necessárias ferramentas especializadas ou técnicas avançadas de exploração – o ataque pode ser executado com conhecimento básico de solicitações HTTP e criptografia Blowfish.
De acordo com Dados Shodanaproximadamente 850 instâncias do Twonky Server estão atualmente expostas à Internet pública.
A maioria dos usuários provavelmente não tem ideia de que seus servidores de mídia estão acessíveis on-line ou vulneráveis a aquisição.
A decisão do fornecedor de interromper a comunicação após receber a divulgação e a sua recusa explícita em corrigir as vulnerabilidades significam que os utilizadores afetados devem defender-se sem o apoio do fornecedor.
Organizações e indivíduos que executam o Twonky Server 8.5.2 devem presumir imediatamente que as credenciais do administrador estão comprometidas.
Restrinja todo o tráfego do Twonky Server apenas a endereços IP confiáveis. Se o seu servidor estiver exposto à Internet, desconecte-o ou coloque-o atrás de um firewall.
Considere soluções alternativas de servidores de mídia que recebam suporte de segurança ativo.
Se você não puder evitar o uso do Twonky Server, implemente a segmentação de rede e monitore atividades de autenticação suspeitas em seus dispositivos.
A falta de resposta do fornecedor demonstra os riscos da implantação de software não suportado em ambientes de rede. Até que os patches estejam disponíveis, a configuração defensiva da rede é sua única opção.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.