{"id":42298,"date":"2020-10-21T22:58:45","date_gmt":"2020-10-21T20:58:45","guid":{"rendered":"https:\/\/www.burks.de\/burksblog\/?p=42298"},"modified":"2020-10-23T23:07:37","modified_gmt":"2020-10-23T21:07:37","slug":"external-urls","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2020\/10\/21\/external-urls","title":{"rendered":"External URLs [Update]"},"content":{"rendered":"

\"burks\"<\/p>\n

Fefe<\/a> schreibt etwas \u00fcber BigBlueButton<\/a>, mit dem ich auch arbeite. „Wer da Pr\u00e4sentationen hochladen darf, hat Admin-Zugriff.“<\/p>\n

Hanno B\u00f6ck<\/a> erkl\u00e4rt das n\u00e4her: „BigBlueButton has a feature that lets a presenter upload a presentation in a wide variety of file formats that gets then displayed in the web application. This looked like a huge attack surface. The conversion for many file formats is done with Libreoffice on the server. Looking for ways to exploit server-side Libreoffice rendering I found a blog post by Bret Buerhaus<\/a> that discussed a number of ways of exploiting such setups. One of the methods described there is a feature in Opendocument Text (ODT) files that allows embedding a file from an external URL in a text section. This can be a web URL like https or a file url and include a local file.“<\/p>\n

Ich halte das in der Praxis nicht f\u00fcr dramatisch. Das schreibt Fefe auch: „Aber in diesem Fall musste gar kein Exploit her, denn die Dateiformate haben (v\u00f6llig ohne Not, m\u00f6chte ich anmerken!) ein Feature, \u00fcber das man externe Ressourcen \u00fcber eine URL einbinden kann“. Ein Dozent, der anderen erlaubt, Dateien zu nutzen und hochzuladen, die bekannte Risiken haben, ist selbst schuld, wenn ihm die Sache um die Ohren fliegt.<\/p>\n

[Update] Der beste aller Provider<\/a> teilte mir mit, dass das Leck inzwischen abgedichtet sei.<\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>