В Owncloud обнаружены сразу три критические уязвимости.
- CVE-2023-49103 — 10 баллов CVSS v3!
- CWE-665 — 9.8 баллов CVSS v3 (CVE-2023-49104)
- CWE-284 — 9 баллов CVSS v3 (CVE-2023-49105)
CVE-2023-49103
Уязвимы контейнерные установки.
- Риск: критический
- CVSS v3 Base Score: 10
- CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CWE ID: CWE-200
- CWE Name: Exposure of Sensitive Information to an Unauthorized Actor
Уязвимость раскрытия конфиденциальной информации и кража учётных данных. Ошибка в библиотеке graphapi 0.2.0 – 0.3.0. Библиотека через URL выдаёт пароли администратора ownCloud, учётные данные почтового сервера и лицензионные ключи.
Рекомендуют:
- удалить файл owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
- отключить функцию phpinfo в контейнерах Docker
- сменить потенциально скомпрометированные секреты
- сменить пароль администратора ownCloud
- сменить учётные данные от почтового сервера
- сменить пароль от БД
- сменить ключи доступа для Object-Store/S3
CWE-665
Уязвимы версии OwnCloud с 10.6.0 по 10.13.0.
https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
- Риск: высокий
- CVSS v3 Base Score: 9.8
- CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CWE ID: CWE-665
- CWE Name: Improper Initialization
Уязвимость позволяет прочитать, изменить или удалить любой файл, если злоумышленнику известно имя пользователя и при этом у пользователя не настроен ключ подписи. Аутентификации для эксплуатации уязвимости не требуется.
Компенсационные меры: установить запрет на использование pre-signed URL.
CWE-284
Уязвимость в приложении oauth2.
https://owncloud.com/security-advisories/subdomain-validation-bypass/
- Риск: критический
- CVSS v3 Base Score: 9
- CVSS v3 Vector: AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
- CWE ID: CWE-284
- CWE Name: Improper Access Control
Обход проверки субдоменов. Ошибка в библиотеке oauth2 < 0.6.1. Злоумышленник может ввести в приложение oauth2 специально подобранный URLкоторый обойдет проверки и перенаправит callback на свой домен.
Компенсационные меры: отключить опцию Allow Subdomains.
