Apache OpenMeetings: फ़ाइलWebService में अपर्याप्त जाँच

Apache OpenMeetings में CVE-2026-33005 पंजीकृत उपयोगकर्ताओं को उनके क्रेडेंशियल्स का उपयोग करके वेब सेवा को क्वेरी करने और किसी भी फ़ोल्डर में फ़ाइलों और उपफ़ोल्डरों के मेटाडेटा को उनके ID द्वारा पुनर्प्राप्त करने की अनुमति देता है। फ़ाइल सामग्री उजागर नहीं की जाती है, लेकिन प्राप्त जानकारी (ID, प्रकार, नाम और FileItemDTO ऑब्जेक्ट में परिभाषित अन्य फ़ील्ड) का उपयोग निर्देशिका संरचना मैपिंग, संवेदनशील फ़ाइलों की पहचान और संभावित रूप से सोशल इंजीनियरिंग या अन्य हमलों को सुविधाजनक बनाने के लिए किया जा सकता है। यह भेद्यता Apache OpenMeetings के 3.10 से 9.0.0 से पहले के संस्करणों को प्रभावित करती है। प्रमाणीकरण की आवश्यकता के कारण जोखिम को मध्यम माना जाता है, लेकिन फ़ाइल संरचना जानकारी की गोपनीयता पर संभावित प्रभाव महत्वपूर्ण है।

Organizations using Apache OpenMeetings for video conferencing and collaboration, particularly those with less restrictive user access controls, are at risk. Shared hosting environments where multiple users share the same OpenMeetings instance are also at higher risk, as a compromised account could potentially expose metadata for other users' files and folders.

• linux / server: Monitor Apache OpenMeetings access logs for unusual web service query patterns, specifically requests targeting file and folder metadata endpoints. Use journalctl -u openmeetings to check for error messages related to unauthorized access or metadata retrieval. • generic web: Use curl to test access to the metadata endpoints with different user credentials. Check response headers for any unauthorized access indicators.

curl -u username:password 'http://openmeetings.example.com/openmeetings/api/v1/files?folderId=1' -v

1. 2026-04-09Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-04-09
3. संशोधित2026-04-10
4. EPSS अद्यतन2026-04-17

CVE-2026-33005 के लिए अनुशंसित शमन Apache OpenMeetings को संस्करण 9.0.0 या बाद में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो फ़ाइल मेटाडेटा तक अनधिकृत पहुंच को रोकता है। अपने सिस्टम को सुरक्षित रखने के लिए इस अपग्रेड को जल्द से जल्द करना उचित है। इसके अतिरिक्त, OpenMeetings के भीतर उपयोगकर्ता एक्सेस नीतियों और अनुमतियों की समीक्षा करें ताकि यह सुनिश्चित हो सके कि केवल अधिकृत उपयोगकर्ताओं के पास आवश्यक फ़ोल्डरों और फ़ाइलों तक पहुंच है। एक्सेस लॉग की निगरानी संदिग्ध गतिविधि की पहचान करने में मदद कर सकती है।