tchenu/cve-2020-12112BigBlueButton versions inférieures à 2.2.4 présentent une vulnérabilité LFI permettant d'accéder à des fichiers sensibles. 🚨
Les versions de BigBlueButton antérieures à 2.2.4 présentent une vulnérabilité LFI permettant d'accéder à des fichiers sensibles.
Lors d'un cours à distance sur une instance BigBlueButton, un étudiant de ma classe a partagé le lien de présentation des diapositives de mon professeur et j'ai remarqué que le nom du fichier était inclus dans l'URL.
Student: "No need to write notes, I've got the slide."
Me: Well, I've got a security report to make. 😂
En jouant un peu avec, j'ai pu accéder au fichier /etc/passwd du serveur et découvrir l'existence d'une vulnérabilité de sécurité sur la solution open source Big Blue Button.
J'ai signalé la vulnérabilité, l'équipe BBB m'a rapidement répondu et a corrigé la vulnérabilité (en quelques jours seulement).
public File getDownloadablePresentationFile(String meetingId, String presId, String presFilename) {
log.info("Find downloadable presentation for meetingId={} presId={} filename={}", meetingId, presId, presFilename);
File presDir = Util.getPresentationDir(presentationBaseDir, meetingId, presId);
return new File(presDir.getAbsolutePath() + File.separatorChar + presFilename);
}
Comme vous pouvez le voir, cette méthode utilisée par un PresentationController permet de télécharger un fichier de présentation en concaténant 3 paramètres.
Cela permet d'obtenir des liens comme celui-ci :
https://test.bigbluebutton.org/bigbluebutton/presentation/download/ffc98830dbfbac3dcc80cc4c5f30711ebd1c23e8-1586764259489/d2d9a672040fbde2a47a10bf6c37b6a4b5ae187f-1586764259500?presFilename=d2d9a672040fbde2a47a10bf6c37b6a4b5ae187f-1586764259500.pdf
Pour exploiter la vulnérabilité, il suffit d'obtenir un lien valide vers un fichier de présentation et de modifier le paramètre presFilename pour accéder à des fichiers sensibles.
https://test.bigbluebutton.org/bigbluebutton/presentation/download/ffc98830dbfbac3dcc80cc4c5f30711ebd1c23e8-1586764259489/d2d9a672040fbde2a47a10bf6c37b6a4b5ae187f-1586764259500?presFilename=../../../../../etc/passwd
L'équipe BBB a corrigé la vulnérabilité dans la version 2.2.4 via une règle de configuration serveur (HTTP), une regex et un format de nom de fichier précis.
location /bigbluebutton/presentation/download {
return 404;
}
location ~ "^/bigbluebutton/presentation/download\/[0-9a-f]+-[0-9]+/[0-9a-f]+-[0-9]+$" {
if ($arg_presFilename !~ "^[0-9a-f]+-[0-9]+\.[0-9a-zA-Z]+$") {
return 404;
}
proxy_pass http://127.0.0.1:8090$uri$is_args$args;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
# Workaround IE refusal to set cookies in iframe
add_header P3P 'CP="No P3P policy available"';
}