Music Assistant: Unauthentifizierte Remotecodeausführung durch Umgehung der m3u-Dateiprüfung

Beschreibung

Music Assistant ist ein Open-Source-Medienbibliothek-Manager, der Streaming-Dienste mit verbundenen Lautsprechern integriert. Versionen bis einschliesslich 2.6.3 erlauben unauthentifizierten, netzwerknahen Angreifern die Ausführung beliebigen Codes auf betroffenen Installationen. Die API music/playlists/update lässt sich so missbrauchen, dass die Erzwingung der .m3u-Dateiendung umgangen wird und Dateien an beliebiger Stelle im Dateisystem geschrieben werden können, was durch den als Root laufenden Container zusätzlich verschärft wird. Dies kann ausgenutzt werden, um durch das Schreiben einer bösartigen .pth-Datei in das Python-site-packages-Verzeichnis Remote Code Execution zu erreichen, da Python beim Laden beliebige Befehle ausführt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 2.7.0 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Home Assistant

• Qualcomm Multiple Chipsets Use-After-Free KEV CVE-2023-33063
• Spring Framework JDK 9+ Remote Code Execution (Spring4Shell) KEV CVE-2022-22965
• CVE-2019-11358 – Axis Communications CVE-2019-11358
• Google Home: Ausspähen und Rechteausweitung durch Angreifer in WLAN-Reichweite CVE-2023-48419
• eNet SMART HOME: aktive Standard-Zugangsdaten ermöglichen administrativen Zugriff CVE-2026-26366
• CVE-2026-26369 – Rechteausweitung im eNet SMART HOME Server CVE-2026-26369