CVE-2023-33176
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
BigBlueButton, otwarte źródło wirtualnej klasy, ma podatność typu Server-Side Request Forgery (SSRF) w wersjach, które pozwalają użytkownikom na podanie URL do pobrania prezentacji bez wcześniejszej walidacji. Wprowadzono aktualizację metody `followRedirect`, aby walidować wszystkie URL-e używane do pobierania prezentacji.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych organizacji, co stwarza poważne zagrożenie dla bezpieczeństwa danych. Brak odpowiednich zabezpieczeń może umożliwić atakującym wykorzystanie tej luki do przeprowadzenia ataków na infrastrukturę sieciową.
Rekomendacja
Zaleca się aktualizację do poprawionej wersji BigBlueButton, aby zaimplementować nowe właściwości walidacji URL-i. Administratorzy powinni również skonfigurować `presentationDownloadSupportedProtocols` i `presentationDownloadBlockedHosts` w pliku `bigbluebutton.properties`.
Inne podatności w BigBlueButton
Zobacz wszystkie- CVE-2026-55491Średnie
BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 BigBlueButton nie escapował pola meetingName w record-and-playback/screenshare/playback/index.html.erb podczas generowania formatu odtwarzania ekranu. Użytkownik z niskimi uprawnieniami mógł zapisać spreparowaną nazwę spotkania zawierającą skrypt, który wykonywał się w przeglądarce innego użytkownika podczas odtwarzania nagrania. Problem naprawiono w wersji 3.0.29.
- CVE-2026-55489Średnie
BigBlueButton to platforma wirtualnej klasy open-source. Przed wersją 3.0.29 prezenterzy mogli przesłać presentationId przez /api/graphql, które identyfikowało prezentację należącą do innego spotkania. Plik akka-bbb-apps/src/main/scala/org/bigbluebutton/core/apps/presentationpod/RemovePresentationPubMsgHdlr.scala nie weryfikował identyfikatora spotkania przed usunięciem, co pozwalało prezenterowi znającemu identyfikator usunąć prezentację innego spotkania i zakłócić jego dostępność. Problem naprawiono w wersji 3.0.29.
- CVE-2026-46682Wysokie
BigBlueButton przed wersją 3.0.23 pozwala uwierzytelnionym moderatorom na wstrzyknięcie SQL przez wartości meetingId i userId używane w metodzie refreshBreakoutRoomsVisibleForUsers. Metoda interpoluje te wartości do zapytań o widoczność pokoi breakout, umożliwiając wykonanie dowolnego SQL na bazie danych aplikacji. Problem naprawiono w wersji 3.0.23.
- CVE-2026-46355Wysokie
BigBlueButton przed wersją 3.0.23 udostępnia endpoint /bigbluebutton/api/handleJoinExistingUser, który był routowalną akcją kontrolera zamiast prywatną funkcją pomocniczą. Osoba mogąca podać existingUserID aktywnego uczestnika może ponownie użyć jego sesji i podszyć się pod uczestnika w tym samym spotkaniu. Problem naprawiono w wersji 3.0.23.
- CVE-2026-46404Średnie
BigBlueButton przed wersją 3.0.23 nieprawidłowo ograniczał dostęp do lokalnych adresów sieciowych podczas walidacji URL prezentacji. Logika podążania za przekierowaniami została poprawiona, aby blokować adresy IP z zakresów lokalnych.
- CVE-2026-46353Wysokie
W BigBlueButton przed wersją 3.0.21 stwierdzono podatność polegającą na możliwości ominięcia walidacji sumy kontrolnej (checksum) w żądaniach API. Problem występuje, gdy do żądania dodany zostanie parametr presentationUploadExternalUrl, co pozwala na wysyłanie poprawnych żądań do niektórych endpointów bez wymaganej sumy kontrolnej.
- CVE-2026-46351Wysokie
BigBlueButton przed wersją 3.0.21 generował tokeny sesji konferencyjnych z niewystarczająco bezpieczną losowością, co umożliwiało użytkownikowi sesji przewidywanie tokenów innych użytkowników i podszywanie się pod nich.
- CVE-2026-27737Średnie
BigBlueButton przed wersją 3.0.19 nie sanityzuje danych wejściowych użytkownika w publicznym czacie podczas odtwarzania nagrań. Pozwala to złośliwemu aktorowi na przeprowadzenie ataku XSS, który aktywuje się u każdego odtwarzającego nagranie. Problem został naprawiony w wersji 3.0.19.
Oryginalny opis (angielski, źródło NVD)
BigBlueButton is an open source virtual classroom designed to help teachers teach and learners learn. In affected versions are affected by a Server-Side Request Forgery (SSRF) vulnerability. In an `insertDocument` API request the user is able to supply a URL from which the presentation should be downloaded. This URL was being used without having been successfully validated first. An update to the `followRedirect` method in the `PresentationUrlDownloadService` has been made to validate all URLs to be used for presentation download. Two new properties `presentationDownloadSupportedProtocols` and `presentationDownloadBlockedHosts` have also been added to `bigbluebutton.properties` to allow administrators to define what protocols a URL must use and to explicitly define hosts that a presentation cannot be downloaded from. All URLs passed to `insertDocument` must conform to the requirements of the two previously mentioned properties. Additionally, these URLs must resolve to valid addresses, and these addresses must not be local or loopback addresses. There are no workarounds. Users are advised to upgrade to a patched version of BigBlueButton.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS