PT-2022-19427 · Nginx+1 · Nginx+1

Giang. Võ Quý · Publicado 2022-06-01 · Atualizado 2023-07-21 · CVE-2022-29169

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do BigBlueButton anteriores à 2.3.19

Versões do BigBlueButton anteriores à 2.4.7

Versões do BigBlueButton anteriores à 2.5.0-beta.2

Descrição

A vulnerabilidade permite ataques de negação de serviço por expressão regular (ReDoS). Um invasor pode causar negação de serviço no serviço bbb-html5 usando uma expressão regular específica. A função lookupUserAgent(), que processa entradas por meio de expressões regulares, pode ser explorada fornecendo uma carga ReDoS usando a variável SmartWatch.

Recomendações

Para versões anteriores à 2.3.19, considere desativar o NginX para que ele não encaminhe as solicitações ao manipulador, de acordo com as instruções do Alerta de Segurança do GitHub.

Para versões anteriores à 2.4.7, considere desativar o NginX para que ele não encaminhe as solicitações ao manipulador, de acordo com as instruções do Alerta de Segurança do GitHub.

Para versões anteriores à 2.5.0-beta.2, considere desativar o encaminhamento de solicitações do NginX para o manipulador, de acordo com as instruções do Alerta de Segurança do GitHub.

Exploit

Correção

DoS

RCE

Enumeração de Fraquezas

CWE-1333

CWE-20

Identificadores relacionados

CVE-2022-29169

GHSA-RWRV-P665-4VWP

Produtos afetados

Bigbluebutton

Nginx

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/29xxx/CVE-2022-29169.json · Exploit
• https://github.com/bigbluebutton/bigbluebutton/security/advisories/GHSA-rwrv-p665-4vwp · Correção
• https://github.com/bigbluebutton/bigbluebutton/pull/14886 · Correção
• https://github.com/bigbluebutton/bigbluebutton/pull/14896 · Correção
• https://osv.dev/vulnerability/CVE-2022-29169 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29169 · Nota de Segurança