In der Serveranwendung für Webkonferenzen Apache OpenMeetings wurde eine Sicherheitsanfälligkeit (CVE-2023-28936) behoben, die den Zugriff auf beliebige Aufzeichnungen und Kommunikationsräume ermöglicht. Der Problematik wurde ein kritisches Gefährdungspotenzial zugewiesen. Die Schwachstelle resultiert aus einer fehlerhaften Überprüfung des Hashs, der für die Verbindung neuer Teilnehmer verwendet wird. Der Fehler tritt seit der Version 2.0.0 auf und wurde in dem vor wenigen Tagen veröffentlichten Update Apache OpenMeetings 7.1.0 behoben.
Darüber hinaus wurden in Apache OpenMeetings 7.1.0 noch zwei weniger gefährliche Sicherheitsanfälligkeiten behoben:
- CVE-2023-29032 — Möglichkeit, die Authentifizierung zu umgehen. Ein Angreifer, der über bestimmte vertrauliche Informationen des Benutzers verfügt, kann sich als ein anderer Benutzer ausgeben.
- CVE-2023-29246 — Möglichkeit zur Einspeisung eines Nullzeichen, was zur Ausführung eigenen Codes genutzt werden kann. Server bei vorhandenem Zugriff auf das Benutzerkonto eines Administrators von OpenMeetings.
Quelle: opennet.ru
