PT-2022-26188

CVE-2022-41964

Publicado

2022-12-16

Atualizado

2022-12-21

Descrição por

CVSS 3.1

5.7

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do BigBlueButton anteriores à 2.4.0

Descrição

A vulnerabilidade afeta o BigBlueButton, um sistema de conferência web de código aberto, e permite que um invasor que seja o apresentador da reunião inicie uma assinatura dos resultados da enquete antes de iniciar uma enquete anônima. Essa assinatura pode então ser usada para visualizar respostas individuais na enquete anônima.

Recomendações

Para versões anteriores à 2.4.0, atualize para a versão 2.4.0 para resolver o problema.

Como solução alternativa temporária, considere restringir a capacidade de iniciar assinaturas para resultados de enquetes antes de iniciar uma enquete anônima ou limitar a função de apresentador da reunião a pessoas de confiança.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Juraj Somorovsky

Nico Heitmann

Sven Hebrok

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor