CVE-2020-12112: BigBlueButton before 2.2.5 allows remote attackers to obtain sensitive files via Local File Inclusion.

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• bigbluebutton bigbluebuttonдо 2.2.5

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-12443BigBlueButton before 2.2.6 allows remote attackers to read arbitrary files because the presfilename (lowercase) value can be a .pdf filename
  40В плане
• CVE-2020-27602BigBlueButton before 2.2.7 does not have a protection mechanism for separator injection in meetingId, userId, and authToken.
  39Наблюдать
• CVE-2020-27605BigBlueButton through 2.2.28 uses Ghostscript for processing of uploaded EPS documents, and consequently may be subject to attacks related t
  39Наблюдать

Опубликованы до и после этой записи в том же продукте

• Позже →CVE-2020-1211323 апр. 2020 г. · BigBlueButton before 2.2.4 allows XSS via closed captions because dangerouslySetInnerHTML in React is used.
  24Наблюдать
• Позже →CVE-2020-2582021 окт. 2020 г. · BigBlueButton before 2.2.7 allows remote authenticated users to read local files and conduct SSRF attacks via an uploaded Office document th
  29Наблюдать
• Позже →CVE-2020-2760321 окт. 2020 г. · BigBlueButton before 2.2.27 has an unsafe JODConverter setting in which LibreOffice document conversions can access external files.
  31Наблюдать

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.