敦促 Apache OpenMeetings 用户修补关键漏洞 - CVE-2024-54676 (CVSS 9.8)

在 Apache OpenMeetings（一个流行的视频会议和在线协作开源平台）中发现了一个严重的安全漏洞（CVE-2024-54676，CVSS 9.8）。攻击者可利用该漏洞在易受攻击的系统上执行任意代码，从而可能泄露敏感数据并中断服务。

该漏洞源于 OpenMeetings 群集模式中对不信任数据的不安全反序列化。这一问题的产生是由于 OpenMeetings 使用的 Java 持久性框架 OpenJPA 缺乏适当的白名单和黑名单配置。通过利用这一漏洞，恶意行为者可以注入恶意代码并由服务器执行。

这个漏洞尤其令人担忧，因为它影响了集群模式，而集群模式通常用于多个服务器协同工作以提供高可用性和可扩展性的企业环境中。利用这个漏洞，攻击者可以完全控制整个集群，大大增加攻击的影响。

Apache OpenMeetings 项目已在 8.0.0 版本中解决了 CVE-2024-54676 漏洞，强烈建议用户升级到最新版本，并实施更新文档中建议的安全配置。这些配置包括在启动脚本中指定 openjpa.serialization.class.blacklist 和 openjpa.serialization.class.whitelist 以限制可被反序列化的数据类型。

该漏洞由腾讯云鼎实验室的 m0d9 发现。他们负责任的披露使得 Apache OpenMeetings 团队在收到恶意利用报告之前就开发并发布了补丁。