PT-2022-26188 · Unknown · Bigbluebutton

Juraj Somorovsky + 2 · Publicado 2022-12-16 · Atualizado 2022-12-21 · CVE-2022-41964

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.7

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do BigBlueButton anteriores à 2.4.0

Descrição

A vulnerabilidade afeta o BigBlueButton, um sistema de conferência web de código aberto, e permite que um invasor que seja o apresentador da reunião inicie uma assinatura dos resultados da enquete antes de iniciar uma enquete anônima. Essa assinatura pode então ser usada para visualizar respostas individuais na enquete anônima.

Recomendações

Para versões anteriores à 2.4.0, atualize para a versão 2.4.0 para resolver o problema.

Como solução alternativa temporária, considere restringir a capacidade de iniciar assinaturas para resultados de enquetes antes de iniciar uma enquete anônima ou limitar a função de apresentador da reunião a pessoas de confiança.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2022-41964

GHSA-FGMJ-RX7J-FQR4

Produtos afetados

Bigbluebutton

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41964.json · Exploit
• https://github.com/bigbluebutton/bigbluebutton/security/advisories/GHSA-fgmj-rx7j-fqr4 · Correção
• https://github.com/bigbluebutton/bigbluebutton/releases/tag/v2.4.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-41964 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41964 · Aviso do Fabricante
• https://t.me/cibsecurity/54769 · Publicação no Telegram