Owncloud, hassas bilgilerin CVE-2023-49103 ile atanmış ve 10,0 önem derecesine sahip yetkisiz bir üçüncü tarafa ifşa edilmesine ilişkin yeni bir güvenlik açığıyla keşfedildi (Kritik).
ownCloud, kullanıcıların depolamayı, paylaşımı ve genel olarak hassas dosya senkronizasyonunu güvenli hale getirmesine olanak tanıyan bir dosya sunucusu ve işbirliği platformudur.
Bu güvenlik açığı, bir tehdit aktörünün yönetici parolaları, posta sunucusu kimlik bilgileri ve lisans anahtarları gibi hassas bilgilere yetkisiz olarak erişmesine olanak tanıyabilir.
Yaklaşan web seminerinde CTO Karthik Krishnamoorthy ve Indusface Ürün Başkan Yardımcısı Vivek Gopalan, API’lerin nasıl saldırıya uğrayabileceğini gösteriyor. Oturumda şunlar ele alınacak: OWASP API’nin en iyi 10 güvenlik açığından yararlanma, API’ye kaba kuvvetle hesap ele geçirme (ATO) saldırısı, API’ye DDoS saldırısı, WAAP’ın API ağ geçidi üzerinden güvenliği nasıl artırabileceği
Ücretsiz Kayıt Ol
GreyNoise, tehdit aktörlerinin bu güvenlik açığından yararlandığını ve bunu vahşi ortamda kullandığını gözlemledi.
CVE-2023-49103: Hassas Bilgilerin Üçüncü Tarafa İfşa Edilmesi
Bu güvenlik açığı şu nedenlerden kaynaklanmaktadır:grafikÜçüncü taraf bir kütüphane kullanan uygulama. Bu kütüphane, erişildiğinde phpinfo dosyası aracılığıyla PHP ortamının yapılandırma ayrıntılarını ortaya çıkaran bir URL sağlamaktan sorumludur.
Phpinfo dosyası, yönetici şifreleri, posta sunucusu kimlik bilgileri veya kapsayıcılı dağıtımların içindeyse lisans anahtarları gibi hassas verileri içerebilecek web sunucusunun tüm ortam değişkenlerinden oluşur.
ownCloud ayrıca “graphapi” uygulamasını devre dışı bırakmanın bu güvenlik açığını ortadan kaldırmayacağını da bildirdi. Ayrıca phpinfo dosyası, bir tehdit aktörünün keşif amacıyla kullanabileceği çeşitli diğer hassas yapılandırma bilgilerini de açığa çıkarır. Ancak Şubat 2023’ten önceki Docker-Container’ların bu güvenlik açığından etkilenmediği doğrulandı.
Etkilenen Ürünler ve Etki Azaltma
“graphapi” 0.2.0 – 0.3.0 sürümlerinin bu güvenlik açığından etkilendiği doğrulandı. Azaltma kapsamında aşağıdaki adımlar önerilmiştir.
- owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php dosyasını silme
- phpinfo işlevinin liman konteynerlerini devre dışı bırakma
- ownCloud yönetici şifresini değiştirme
- Posta sunucusu kimlik bilgilerini değiştirme
- Veritabanı kimlik bilgilerini değiştirme ve
- Object-store/S3 erişim anahtarlarını değiştirme
ownCloud kullanıcılarının, hassas bilgilerin yetkisiz tehdit aktörlerinin eline geçmesini önlemek için önlem almaları önerilir.
14 günlük ücretsiz deneme sürümünü deneyerek StorageGuard’ın depolama sistemlerinizdeki güvenlik kör noktalarını nasıl ortadan kaldırdığını deneyimleyin.