Три уязвимости OwnCloud

Олег

5 декабря 2023

В Owncloud обнаружены сразу три критические уязвимости.

CVE-2023-49103 — 10 баллов CVSS v3!
CWE-665 — 9.8 баллов CVSS v3 (CVE-2023-49104)
CWE-284 — 9 баллов CVSS v3 (CVE-2023-49105)

CVE-2023-49103

Уязвимы контейнерные установки.

https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/

Риск: критический
CVSS v3 Base Score: 10
CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE ID: CWE-200
CWE Name: Exposure of Sensitive Information to an Unauthorized Actor

Уязвимость раскрытия конфиденциальной информации и кража учётных данных. Ошибка в библиотеке graphapi 0.2.0 – 0.3.0. Библиотека через URL выдаёт пароли администратора ownCloud, учётные данные почтового сервера и лицензионные ключи.

Рекомендуют:

удалить файл owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
отключить функцию phpinfo в контейнерах Docker
сменить потенциально скомпрометированные секреты
сменить пароль администратора ownCloud
сменить учётные данные от почтового сервера
сменить пароль от БД
сменить ключи доступа для Object-Store/S3

CWE-665

Уязвимы версии OwnCloud с 10.6.0 по 10.13.0.

https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/

Риск: высокий
CVSS v3 Base Score: 9.8
CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE ID: CWE-665
CWE Name: Improper Initialization

Уязвимость позволяет прочитать, изменить или удалить любой файл, если злоумышленнику известно имя пользователя и при этом у пользователя не настроен ключ подписи. Аутентификации для эксплуатации уязвимости не требуется.

Компенсационные меры: установить запрет на использование pre-signed URL.

CWE-284

Уязвимость в приложении oauth2.

https://owncloud.com/security-advisories/subdomain-validation-bypass/

Риск: критический
CVSS v3 Base Score: 9
CVSS v3 Vector: AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
CWE ID: CWE-284
CWE Name: Improper Access Control

Обход проверки субдоменов. Ошибка в библиотеке oauth2 < 0.6.1. Злоумышленник может ввести в приложение oauth2 специально подобранный URLкоторый обойдет проверки и перенаправит callback на свой домен.

Компенсационные меры: отключить опцию Allow Subdomains.