Lukas Knittel

O BigBlueButton é uma plataforma de sala de aula virtual. Quando um usuário ingressa em uma sessão com o microfone inicialmente mutado, o cliente pode enviar dados de áudio para o servidor, apesar do estado de mudo. Embora o servidor descarte esse áudio, impedindo que seja audível para outros participantes, um operador mal-intencionado do servidor poderia potencialmente acessar esses dados. Esse comportamento ocorre apenas entre o ingresso na reunião e a primeira vez que o usuário reativa o microfone.

Uma vulnerabilidade na funcionalidade de ingresso na reunião do Cisco Webex Meetings poderia permitir que um atacante não autenticado, próximo à rede, concluísse o processo de ingresso na reunião no lugar de um usuário pretendido. Isso ocorreu devido a problemas de validação de certificado do cliente. Um atacante poderia explorar isso monitorando redes sem fio locais ou adjacentes em busca de solicitações de ingresso do cliente e tentando interromper e concluir o fluxo de ingresso na reunião como outro usuário. Uma exploração bem-sucedida poderia permitir que o atacante ingressasse na reunião como outro usuário. A Equipe de Resposta a Incidentes de Segurança do Produto (PSIRT) da Cisco não tem conhecimento de nenhum uso malicioso desta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache HTTP Server até a 2.4.63 Descrição: Em certas configurações do mod ssl, um atacante man-in-the-middle pode sequestrar uma sessão HTTP por meio de um ataque de upgrade TLS. Este problema afeta configurações que utilizam "SSLEngine optional" para habilitar upgrades TLS. O ataque está relacionado à dessincronização HTTP. Recomendações: Atualize para a versão 2.4.64, que remove o suporte para upgrade TLS.