开源文件共享软件 ownCloud 中存在3个严重漏洞，可导致信息泄露和文件修改
2023-11-27 17:40:27 Author: mp.weixin.qq.com(查看原文) 阅读量:8 收藏

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

开源的文件共享软件 ownCloud 的维护人员提醒称，软件中存在三个严重漏洞，可用于泄露敏感信息和修改文件。

这些漏洞的简述如下：

  • 容器化部署中的敏感凭据和配置泄露，影响 graphapi 0.2.0至0.3.0版本（CVSS评分10）

  • 使用 Pre-Signed URL 绕过WebDAV Api 认证，影响核心版本10.6.0至10.13.0（CVSS评分9.8）

  • 子域验证绕过，影响 0.6.1之前的 oauth2 版本（CVSS评分9.0）

该公司在说明第一个安全漏洞时表示，“'graphapi”应用依赖于提供URL的第三方库。当访问该URL时，它会披露 PHP 环境的配置详情 (phpinfo)。该信息包括 web 服务器的所有环境变量。在容器化部署中，这些环境变量可能包括敏感数据如 ownCloud 管理员密码、邮件服务器凭据和许可证密钥。”

ownCloud 建议删除 "owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php" 文件，并禁用 phpinfo 函数。同时建议用户修改机密信息如 ownCloud 管理员密码、邮件服务器和数据库凭据以及 Object-Store/S3 访问密钥。

第二个漏洞可使攻击者访问、修改或删除任何文件 sans 认证，前提是受害者的用户名是已知的以及受害者未配置签名密钥，而这是默认行为。

第三个漏洞和访问控制不当有关，它可导致攻击者“传递一个特殊构造的 redirect-url，绕过验证码，从而使攻击者将回调重定向至由攻击者控制的TLD。”

除了在 oauth2 app 的验证码中增加加固措施外，ownCloud 建议用户禁用“允许子域名”选项进行缓解。

前不久，CrushFTP 解决方案中存在一个严重的RCE漏洞CVE-2023-43177且PoC 已发布。该漏洞可遭未认证攻击者用于访问文件、在主机上运行任意程序并获取明文密码。该漏洞已在 CrushFTP 10.5.2 中修复且于2023年8月10日发布。CrushFTP 在当时发布的安全公告中提到，“该漏洞的严重性在于，它不仅无需任何认证，而且还能匿名执行，窃取其它用户的会话并提权至管理员用户权限。”

代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读

开源内容管理系统Drupal 修复信息泄露和 XSS 漏洞

开源自动化服务器软件 Jenkins 被曝严重漏洞，可泄露敏感信息

开源云软件 CasaOS 中存在两个严重漏洞

注意！开源命令行工具Curl 中存在严重漏洞

PHPFusion 开源 CMS 中存在严重漏洞

使用广泛的开源框架 Expo中存在多个 OAuth 漏洞，导致账户遭接管

原文链接
https://thehackernews.com/2023/11/warning-3-critical-vulnerabilities.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247518225&idx=1&sn=0012c60dceb2dbcc1beeb94a8a38d402&chksm=ea94b97bdde3306d13ff1ee130bc1d5387971ace02890354fb0bcf9e7f6268f934440725ab63&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh