In de server voor het houden van webconferenties Apache OpenMeetings is een kwetsbaarheid (CVE-2023-28936) opgelost, die toegang verleent tot willekeurige opnames en communicatiekamers. Het probleem is geclassificeerd met een kritieke ernst. De kwetsbaarheid wordt veroorzaakt door een onjuiste controle van de hash die wordt gebruikt voor het verbinden van nieuwe deelnemers. De fout doet zich voor vanaf versie 2.0.0 en is verholpen in de onlangs uitgebrachte update van Apache OpenMeetings 7.1.0.
Daarnaast zijn er in Apache OpenMeetings 7.1.0 nog twee minder gevaarlijke kwetsbaarheden verholpen:
- CVE-2023-29032 — de mogelijkheid om de authenticatie te omzeilen. Een aanvaller die bepaalde vertrouwelijke informatie over een gebruiker kent, kan zich voordoen als een andere gebruiker.
- CVE-2023-29246 — de mogelijkheid om een nulcode-teken in te voegen, wat kan worden gebruikt om eigen code uit te voeren op de server bij toegang tot een admin-account van OpenMeetings.
Bron: opennet.ru
