CVE-2021-43821

概要

Opencastは、教育向けのオープンソースの講義収録・動画管理システムです。バージョン9.10または10.6より前のOpencastでは、取り込まれたメディアパッケージ内のローカルファイルURLへの参照が許可されており、攻撃者がOpencastのホストマシン上のローカルファイルを含め、Webインターフェース経由で利用可能にすることを可能にしていました。Opencast 9.10および10.6より前のバージョンでは、Opencastは取り込み中にローカルファイルを開いて含めていました。攻撃者はこれを悪用して、プロセスが読み取りアクセス権を持つほとんどのローカルファイルを含め、ホストマシンから秘密情報を抽出できました。攻撃者は、この脆弱性を悪用するために新しいメディアを追加するために必要な権限を持っている必要があります。しかし、これらの権限はしばしば広く付与されています。この問題はOpencast 10.6および11.0で修正されています。UNIXパーミッションやSELinuxなどの強制アクセス制御システムを使用して、Opencastがファイルシステム上のファイルに対して持つ読み取りアクセスを絞り込むことで、この問題を軽減できます。ただし、これではOpencastが読み取る必要があるファイルへのアクセスを防ぐことはできないため、更新を強くお勧めします。

• opencast-CVE-2021-43821-envPoC

  opencast cve-2021-43821敏感情報漏えい脆弱性環境