CVE-2023-33176 in BigBlueButton
要約
〜によって VulDB • 2026年05月24日
BigBlueButtonは、教師が教え、学習者が学ぶのを支援するために設計されたオープンソースのバーチャルクラスルームです。影響を受けるバージョンでは、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が確認されています。`insertDocument` APIリクエストにおいて、ユーザーはプレゼンテーションのダウンロード元となるURLを指定できます。このURLは、最初に適切に検証されずに使用されていました。`PresentationUrlDownloadService`内の`followRedirect`メソッドが更新され、プレゼンテーションのダウンロードに使用されるすべてのURLが検証されるようになりました。また、管理者がURLで使用可能なプロトコルを定義し、プレゼンテーションのダウンロード元として明示的にブロックするホストを指定できるようにするため、`bigbluebutton.properties`に`presentationDownloadSupportedProtocols`および`presentationDownloadBlockedHosts`という2つの新しいプロパティが追加されました。`insertDocument`に渡されるすべてのURLは、前述の2つのプロパティの要件に準拠する必要があります。さらに、これらのURLは有効なアドレスに解決されなければならず、そのアドレスはローカルアドレスやループバックアドレスであってはなりません。回避策はありません。ユーザーは、パッチが適用されたバージョンのBigBlueButtonへのアップグレードを推奨します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.