🇰🇷 한글 설명
BigBlueButton 오픈소스 웹 회의 시스템의 특정 버전에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 조작된 User-Agent 헤더를 전송하면 bbb-html5 서비스의 리소스를 과다 점유하여 서비스 중단을 일으킬 수 있습니다.
💡 쉬운 설명
공격자가 특수한 문자가 포함된 접속 정보를 보내면 서버가 이를 처리하느라 과부하가 걸려 멈추게 되는 문제입니다. 이로 인해 웹 회의 서비스를 정상적으로 이용할 수 없게 됩니다.
🇺🇸 원문 (English)
BigBlueButton is an open source web conferencing system. Versions starting with 2.2 and prior to 2.3.19, 2.4.7, and 2.5.0-beta.2 are vulnerable to regular expression denial of service (ReDoS) attacks. By using specific a RegularExpression, an attacker can cause denial of service for the bbb-html5 service. The useragent library performs checking of device by parsing the input of User-Agent header and lets it go through lookupUserAgent() (alias of useragent.lookup() ). This function handles input by regexing and attackers can abuse that by providing some ReDos payload using `SmartWatch`. The maintainers removed `htmlclient/useragent` from versions 2.3.19, 2.4.7, and 2.5.0-beta.2. As a workaround, disable NginX forwarding the requests to the handler according to the directions in the GitHub Security Advisory.
📍 영향받는 시스템
BigBlueButton 2.2 버전부터 2.3.19, 2.4.7, 2.5.0-beta.2 미만 버전
⚔️ 공격 벡터
조작된 'SmartWatch' 페이로드가 포함된 User-Agent HTTP 헤더를 전송하여 ReDoS 유발
🛡️ 대응 방법
BigBlueButton을 2.3.19, 2.4.7 또는 2.5.0-beta.2 이상의 버전으로 업데이트하거나 Nginx에서 해당 요청을 차단하도록 설정
🔧 검증 코드
출력된 버전이 취약한 범위(2.2 ~ 2.3.19 미만 등)에 해당되는지 확인
bbb-html5 --version 2>/dev/null || echo 'Version check required via package manager'