ownCloud拥有警告用户三大安全漏洞共享文件软件,如果开发使用,可泄露敏感信息并修改文件特别和潜在影响型脆弱披露敏感证书和容器化部署配置.
ownCloud使用广开源项目允许用户主机同步文件自居Cloud网站表示有2亿用户 包括600家企业
漏洞出自项目构件
图apia依赖第三方库提供 URLURL访问时显示PHP环境配置细节
微软图API(graphapi)网络API访问微软云服务资源注册应用并获取用户或服务认证令牌后,可请求微软图API
Shordan搜索显示成千上万接触服务,特别是在德国和美国
常见易损数据库公开披露计算机安全缺陷CVES发现漏洞如下:
CVE2023-49105高山市CVSS评分10分9.8分中发现问题自身云/核心101.3.1前攻击者可访问、修改或删除无认证文件,如果已知受害者的用户名,而受害者没有签名键配置发生这种情况是因为预签名URL可被接受,即使不为文件所有者配置签名密钥。最早受创版本为10.6.0
CVE-2023-49104CVSS评分9/10:自创Cloud发现问题自身云/oath20.6.1前允许子域攻击者能够跳过编程重定向曲线,绕过验证程序,并因此允许攻击者重定向回调由攻击者控制的最高层域
重定向URL是OAUT(认证)流中关键部分用户成功授权程序后,授权服务器将重定向用户返回程序重定向URL将包含敏感信息,关键是服务不将用户重定向到任意位置
CVE2023-49103CVSS评分10:0.2.1和0.3.x前在Cloud自克隆/raphapi0.2.x图apia依赖第三方GetPhpinfo.php库提供 URL存取此URL时,它显示PHP环境配置细节信息包括 webserver环境变量在容器化部署中,环境变量可能包括敏感数据,如自用户密码、邮件服务器证书和许可密钥况且phpinfo暴露各种其他潜在敏感配置细节,攻击者可利用这些细节收集系统信息因此,即使ownCloud不是在容器化环境中运行,这种脆弱性仍应引起关注。A工作概念证明Github上已经提供
Ransomware运算符可能有一个字段日向往显示,他们爱分享文件应用几乎和爱管理员密码一样多。允许他们在网络中自由漫游 并移动失窃数据
怎么办
ownCloud表示你应该删除文件owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php.简单禁止图api应用无法消除漏洞
更新版自居Cloud禁用phpinfo嵌套容器函数,允诺在未来核心释放中应用各种加固来减少相似漏洞
并修改下列内容:
- 自己的Cloud管理员密码
- 邮件服务器证书
- 数据库证书
- ObjectStore/S3存取密钥
注意docker容器从2023年2月前不易受证书披露
无法立即补丁时,可禁用Allow子域选项禁止易损性,以备CVE2023-49104使用
CVE2023-49105工作环境配置签名键
教程自定义Clou网站.
我们不光报告漏洞-我们识别漏洞并优先行动
网络安全风险绝不应超出头条保留漏洞使用拖必威平台APP恶意漏洞补丁管理.
