Nel server per la conduzione di web-conferenze Apache OpenMeetings è stata risolta una vulnerabilità (CVE-2023-28936) che consente l'accesso a registrazioni e stanze di comunicazione arbitrarie. È stata attribuita un livello di gravità critico a questo problema. La vulnerabilità è causata da un'erronea verifica dell'hash usato per collegare nuovi partecipanti. L'errore si manifesta a partire dalla versione 2.0.0 ed è stato corretto nell'aggiornamento di Apache OpenMeetings 7.1.0 rilasciato pochi giorni fa.
Inoltre, in Apache OpenMeetings 7.1.0 sono state risolte altre due vulnerabilità meno gravi:
- CVE-2023-29032 — possibilità di eludere l'autenticazione. Un attaccante, conoscendo alcune informazioni riservate su un utente, può spacciarsi per un altro utente.
- CVE-2023-29246 — possibilità di iniettare un carattere con codice nullo, che può essere utilizzato per eseguire il proprio codice su server se si ha accesso a un account amministratore di OpenMeetings.
Fonte: opennet.ru
