🇰🇷 한글 설명
BigBlueButton 2.2.6 미만 버전에서 발생하는 취약점으로, 파일명 대소문자 구분 문제를 악용하여 임의의 파일을 읽을 수 있습니다. 공격자는 디렉토리 트래버설 공격을 통해 bigbluebutton.properties와 같은 민감한 설정 파일을 탈취하고 권한을 상승시킬 수 있습니다.
💡 쉬운 설명
파일 이름의 대소문자를 다르게 입력하여 보안 검사를 우회하는 방식입니다. 이를 통해 해커가 서버 내부의 중요한 비밀 파일을 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
BigBlueButton before 2.2.6 allows remote attackers to read arbitrary files because the presfilename (lowercase) value can be a .pdf filename while the presFilename (mixed case) value has a ../ sequence. This can be leveraged for privilege escalation via a directory traversal to bigbluebutton.properties. NOTE: this issue exists because of an ineffective mitigation to CVE-2020-12112 in which there was an attempted fix within an NGINX configuration file, without considering that the relevant part of NGINX is case-insensitive.
📍 영향받는 시스템
BigBlueButton version < 2.2.6
⚔️ 공격 벡터
대소문자가 혼용된 파일명을 이용한 디렉토리 트래버설(Directory Traversal)
🛡️ 대응 방법
BigBlueButton을 2.2.6 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.2.6 미만인지 확인하십시오.
dpkg -l | grep bigbluebutton | awk '{print $3}'