JVNDB-2026-005593

BigBlueButtonにおける誤った領域へのリソースの漏えいに関する脆弱性

BigBlueButtonはオープンソースのバーチャル教室です。バージョン3.0.21以下では、「Server Customization」に関する公式ドキュメントのClamAVをプレゼンテーションファイルスキャナとしてサポートする部分に、BBBサーバーをサービス拒否（DoS）に脆弱にする指示が含まれていました。この不適切なコマンドにより、ポート3310と7357の両方がインターネットに公開されます。リモート攻撃者はこれを利用して複雑または大容量のドキュメントをclamdに送信し、サーバーリソースを浪費させたり、clamdプロセスを停止させたりできます。clamdのドキュメントでは、このポートを公開しないように明確に警告しています。インストール時にufw（Ubuntuのファイアウォール）を有効にしても効果がありません。なぜなら、Dockerはコンテナのトラフィックをnatテーブル経由でルーティングしており、ufwはこのテーブルを管理・制限しないためです。ufwがfilterテーブルに設定するルールはDockerのトラフィックに影響を与えません。さらに、提供された例では/var/bigbluebuttonをコンテナに書き込み権限付きでマウントしていますが、これは必要ありません。将来的にclamdに脆弱性が発生した場合、このフォルダ内のファイル操作が攻撃者によって可能になる恐れがあります。ユーザーはBigBlueButtonのドキュメントの追加指示に従わない限り影響を受けません。本問題はバージョン3.0.22で修正されました。

BigBlueButton

• BigBlueButton 3.0.22 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Exposed ClamAV port allowing denial of service  Advisory  bigbluebutton/bigbluebutton  GitHub

1. 誤った領域へのリソースの漏えい(CWE-668) [その他]

1. CVE-2026-27466

1. National Vulnerability Database (NVD) : CVE-2026-27466
2. 関連文書 : Merge commit from fork  bigbluebutton/bigbluebutton@f3d33d9  GitHub

• [2026年03月02日]
    掲載