Home Blogs 威胁英特尔更新:ownCloud漏洞
Download
Applications

威胁英特尔更新:ownCloud漏洞

About The Author

Outline

在2023年11月21日,ownCloud宣布了三个主要的漏洞,它们的核心(CVE -49105 ),OAuth (CVE -49104 )和Graphapi (CVE -49103 )库。

Edgio Security产品套件可以通过启用虚拟修补来加快零日补救,从而帮助在这些不断发展的威胁面前保持领先地位。 虽然我们通过默认规则为客户提供了抵御这些威胁的保护,但我们强烈建议按照供应商的说明对所有受影响的设备采取建议的措施。 如果您对保护您的ownCloud实例有任何疑问或需要额外支持,请联系Edgio SOC,发送电子邮件至 tickets@edg.io 以获得帮助。

建议:

容器化部署中敏感凭据和配置的披露(CVE -49103):

  • CVSS评分:10.0严重
  • 影响: 此严重漏洞影响0.2.1之前的ownCloud/graphapi版本0.2x和0.3x之前的版本。 它公开了PHP环境的配置详细信息,包括敏感数据,如ownCloud管理员密码,邮件服务器凭据和许可证密钥 仅禁用graphapi应用程序并不能消除此漏洞。
  • 操作: 删除文件owncloud/apps/graphapi/vendor/microsoft-graph/tests/GetPhpInfo.php。 禁用docker-containers中的phpinfo功能。 更改ownCloud管理员密码,邮件服务器凭据,数据库凭据和Object-Store/S3访问key​​​​。

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49103

https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/

子域验证绕过(CVE -49104):

  • CVSS评分:8.7分高
  • 影响: 此严重漏洞影响0.6.1之前的ownCloud/oauth2版本。 它允许攻击者传递特制的重定向URL,该重定向URL绕过任何重定向URL验证,并在启用”允许子域”功能时将回调重定向到攻击者控制的任何备用顶级域。
  • 操作: 强化oauth2应用程序中的属性验证代码。 作为变通方法,可以禁用”允许子域”选项以防止n ü vulnerability​​​。

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49104

https://owncloud.com/security-advisories/subdomain-validation-bypass/

使用预签名URL (CVE -49105)绕过WebDAV API身份验证:

  • CVSS评分:9.8严重
  • 影响: 此高风险问题影响ownCloud/核心版本10.6.0至10.13.0。 如果攻击者知道受害者的用户名且受害者未配置签名密钥,则可以在不进行身份验证的情况下访问,修改或删除任何文件。
  • 操作: 如果未为n ü files​​​​ 的所有者配置”签名密钥”,则拒绝使用预签名URL。

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49105

https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/

ownCloud的用户和管理员必须定期查看安全通报并实施建议的措施来保护其系统。