Lukas Knittel

BigBlueButton هي منصة للفصول الدراسية الافتراضية. عندما ينضم مستخدم إلى جلسة مع كتم صوت الميكروفون في البداية، يمكن للعميل إرسال بيانات صوتية إلى الخادم، على الرغم من حالة كتم الصوت. وعلى الرغم من أن الخادم يتجاهل هذا الصوت، مما يمنع سماعه من قبل المشاركين الآخرين، إلا أن مشغل الخادم ذو النوايا الخبيثة قد يتمكن من الوصول إلى هذه البيانات. يحدث هذا السلوك فقط في الفترة ما بين دخول المستخدم إلى الاجتماع وحتى أول مرة يقوم فيها بتفعيل الميكروفون.

قد تسمح ثغرة أمنية في وظيفة الانضمام إلى الاجتماع في Cisco Webex Meetings لمهاجم غير مصدق عليه، موجود بالقرب من الشبكة، بإتمام عملية الانضمام إلى الاجتماع بدلاً من المستخدم المقصود. وقد حدث ذلك بسبب مشكلات في التحقق من صحة شهادة العميل. يمكن للمهاجم استغلال هذه الثغرة من خلال مراقبة الشبكات اللاسلكية المحلية أو المجاورة بحثًا عن طلبات الدخول الصادرة عن العميل، ومحاولة مقاطعة وتكملة عملية الدخول إلى الاجتماع بصفته مستخدمًا آخر. وقد يؤدي الاستغلال الناجح لهذه الثغرة إلى تمكين المهاجم من الدخول إلى الاجتماع بصفته مستخدمًا آخر. لا يعلم فريق الاستجابة لحوادث أمن المنتجات (PSIRT) التابع لشركة سيسكو بأي استخدام ضار لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات خادم Apache HTTP حتى الإصدار 2.4.63 الوصف: في بعض إعدادات mod ssl، يمكن لمهاجم من نوع «man-in-the-middle» اختطاف جلسة HTTP من خلال هجوم ترقية TLS. تؤثر هذه المشكلة على الإعدادات التي تستخدم «SSLEngine optional» لتمكين ترقيات TLS. يرتبط هذا الهجوم بعدم تزامن HTTP. التوصيات: قم بالتحديث إلى الإصدار 2.4.64، الذي يلغي دعم ترقية TLS.