CVE-2022-36029

Open redirect w Greenlight (BigBlueButton) — niezweryfikowana wartość cookie return_to

CVSS 9.1v3.1pub. 2024-04-25upd. 2025-04-24

Greenlight, interfejs użytkownika dla serwerów BigBlueButton, w wersjach wcześniejszych niż 2.13.0 zawiera podatność typu open redirect na stronie logowania. Wynika ona z braku walidacji wartości cookie `return_to`, co umożliwia przekierowanie użytkownika na dowolną, kontrolowaną przez atakującego stronę.

▸ Pokaż oryginał (EN)

Greenlight is an end-user interface for BigBlueButton servers. Versions prior to 2.13.0 have an open redirect vulnerability in the Login page due to unchecked the value of the `return_to` cookie. Versions 2.13.0 contains a patch for the issue.

🤖 Analiza AI

Jak działa

Podatność polega na tym, że strona logowania Greenlight odczytuje wartość cookie `return_to` i przekierowuje użytkownika pod wskazany adres URL bez sprawdzenia, czy jest on zaufany lub należy do dozwolonej domeny. Atakujący może podmienić tę wartość na adres złośliwej witryny. Po zalogowaniu się użytkownik zostaje automatycznie przekierowany na kontrolowaną przez napastnika stronę, co tworzy warunki do przeprowadzenia ataku phishingowego lub kradzieży poświadczeń.

Skutki

Atakujący może nakłonić uwierzytelnionych użytkowników do odwiedzenia złośliwych stron internetowych, co może skutkować kradzieżą danych uwierzytelniających, sesji lub innymi atakami socjotechnicznymi. Podatność zagraża integralności i poufności danych użytkowników.

Mitygacja

Należy zaktualizować Greenlight do wersji 2.13.0, która zawiera patch eliminujący podatność. Commit z poprawką dostępny jest w repozytorium GitHub projektu.

Kogo dotyczy

Bigbluebutton Greenlight w wersjach wcześniejszych niż 2.13.0

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.com (bounty ba5834bd-1f04-4936-8e93-2442d45403b). Pomimo oceny CVSS 9.1 (CRITICAL), klasyczna podatność open redirect rzadko prowadzi bezpośrednio do przejęcia systemu — jej faktyczne ryzyko należy oceniać w kontekście środowiska wdrożenia.