Apache OpenMeetings: 文件服务 (FileWebService) 中检查不足

Apache OpenMeetings 的 CVE-2026-33005 允许注册用户使用其凭据查询 Web 服务，并根据其 ID 获取任何文件夹中的文件和子文件夹的元数据。虽然不暴露文件内容，但获取的信息（ID、类型、名称以及 FileItemDTO 对象中定义的其他字段）可用于目录结构映射、识别敏感文件，以及潜在地进行社会工程或促进其他攻击。此漏洞影响 Apache OpenMeetings 的 3.10 到 9.0.0 之前的版本。由于需要身份验证，因此风险被认为是中等，但对文件结构信息的机密性的潜在影响是显著的。

Organizations using Apache OpenMeetings for video conferencing and collaboration, particularly those with less restrictive user access controls, are at risk. Shared hosting environments where multiple users share the same OpenMeetings instance are also at higher risk, as a compromised account could potentially expose metadata for other users' files and folders.

• linux / server: Monitor Apache OpenMeetings access logs for unusual web service query patterns, specifically requests targeting file and folder metadata endpoints. Use journalctl -u openmeetings to check for error messages related to unauthorized access or metadata retrieval. • generic web: Use curl to test access to the metadata endpoints with different user credentials. Check response headers for any unauthorized access indicators.

curl -u username:password 'http://openmeetings.example.com/openmeetings/api/v1/files?folderId=1' -v

1. 2026-04-09Disclosure

   disclosure

1. 已保留2026-03-17
2. 发布日期2026-04-09
3. 修改日期2026-04-10
4. EPSS 更新日期2026-04-17

针对 CVE-2026-33005 的建议缓解措施是将 Apache OpenMeetings 升级到 9.0.0 或更高版本。此版本包含一项修复程序，可防止未经授权访问文件元数据。建议尽快执行此升级以保护您的系统。此外，请审查 OpenMeetings 中用户访问策略和权限，以确保仅授权用户才能访问必要的文件夹和文件。监控访问日志可以帮助识别可疑活动。