Η ευπάθεια διορθώθηκε την 21η Νοεμβρίου του 2023 πριν δημοσιευτεί από την ίδια την OwnCloud.
- Risk: critical
- CVSS v3 Base Score: 10
- CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CWE ID: CWE-200
- CWE Name: Exposure of Sensitive Information to an Unauthorized Actor
Περιγραφή
Η εφαρμογή “graphapi” βασίζεται σε μια βιβλιοθήκη τρίτου μέρους που παρέχει μια διεύθυνση URL. Όταν γίνεται πρόσβαση σε αυτό το URL, αποκαλύπτονται
οι λεπτομέρειες διαμόρφωσης του περιβάλλοντος της PHP (μέσω του phpinfo). Αυτές οι πληροφορίες συμπεριλαμβάνουν όλες τις μεταβλητές περιβάλλοντος του
webserver. Σε εγκαταστάσεις μέσα σε container, αυτές οι μεταβλητές περιβάλλοντος μπορεί να συμπεριλαμβάνουν και ευαίσθητα δεδομένα όπως τον κωδικό πρόσβασης του διαχειριστή του ownCloud, τα διαπιστευτήρια του mail server και κλειδί της άδειας χρήσης.
Η απλή απενεργοποίηση της εφαρμογής graphapi δεν εξαλείφει την ευπάθεια. Επιπροσθέτως, το phpinfo εκθέτει διάφορες άλλες δυνητικά ευαίσθητες λεπτομέρειες διαμόρφωσης που θα μπορούσαν να χρησιμοποιηθούν από κάποιον εισβολέα για να
συγκεντρώσει πληροφορίες για το σύστημα. Επομένως, ακόμα κι αν το ownCloud δεν τρέχει σε περιβάλλον container, η ευπάθεια θα πρέπει να αποτελεί λόγο ανησυχίας.
Λάβετε υπόψη ότι τα Docker-Containers από πριν από τον Φεβρουάριο του 2023 δεν είναι ευάλωτα στην αποκάλυψη διαπιστευτηρίων.
Επηρεάζονται
graphapi 0.2.0 – 0.3.0
Τι μπορείτε να κάνετε
Διαγράψτε το αρχείο owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php.
Απενεργοποιήστε τη λειτουργία phpinfo στα docker-containers.
Αλλάξετε τα παρακάτω:
– Κωδικό πρόσβασης του διαχειριστή του ownCloud
– Διαπιστευτήρια του mail server
– Διαπιστευτήρια της βάσης δεδομένων
– Κλειδί πρόσβασης του Object-Store/S3
