CVE-2023-33176 in BigBlueButton
요약
\~에 의해 VulDB • 2026. 06. 02.
BigBlueButton은 교사가 가르치고 학습자가 학습할 수 있도록 돕기 위해 설계된 오픈 소스 가상 교실입니다. 영향을 받는 버전에서는 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. `insertDocument` API 요청에서 사용자는 프레젠테이션 다운로드 대상 URL을 제공할 수 있습니다. 이 URL은 먼저 성공적으로 검증되지 않은 채로 사용되었습니다. `PresentationUrlDownloadService`의 `followRedirect` 메서드가 업데이트되어 프레젠테이션 다운로드에 사용될 모든 URL이 검증되도록 하였습니다. 또한 관리자가 URL이 사용해야 하는 프로토콜을 정의하고 프레젠테이션 다운로드가 금지된 호스트를 명시적으로 정의할 수 있도록 `bigbluebutton.properties`에 `presentationDownloadSupportedProtocols` 및 `presentationDownloadBlockedHosts`라는 두 가지 새 속성이 추가되었습니다. `insertDocument`로 전달되는 모든 URL은 이전에 언급된 두 속성의 요구 사항을 준수해야 합니다. 또한 이러한 URL은 유효한 주소로 해석되어야 하며, 해당 주소는 로컬 또는 루프백 주소가 아니어야 합니다. 우회 방법은 없습니다. 사용자는 패치된 버전의 BigBlueButton으로 업그레이드하는 것이 권장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.