Το open source λογισμικό κοινής χρήσης αρχείων ownCloud προειδοποιεί για τρεις κρίσιμες ευπάθειες ασφαλείας.
Το ownCloud είναι μια open-source λύση συγχρονισμού και κοινής χρήσης αρχείων που έχει σχεδιαστεί για άτομα και οργανισμούς που επιθυμούν να διαχειρίζονται και να μοιράζονται αρχεία μέσω μιας self-hosted πλατφόρμας.
Χρησιμοποιείται από πολλές επιχειρήσεις, εκπαιδευτικά ιδρύματα, κυβερνητικούς φορείς και άτομα που δίνουν έμφαση στο απόρρητο και δεν προτιμούν τρίτους παρόχους cloud για την αποθήκευση των δεδομένων τους.
Το λογισμικό αποτελείται από πολλές βιβλιοθήκες και στοιχεία που, μαζί, προσφέρουν διάφορες χρήσιμες λειτουργίες για τους χρήστες.
Δείτε επίσης: Windows Hello: Σοβαρή ευπάθεια σε φορητούς υπολογιστές
ownCloud: Κρίσιμες ευπάθειες εκθέτουν admin passwords και άλλα credentials
Την περασμένη εβδομάδα, οι προγραμματιστές εξέδωσαν τρία security bulletins για τρεις διαφορετικές ευπάθειες που θα μπορούσαν να προκαλέσουν σοβαρά προβλήματα.
Η πρώτη ευπάθεια (CVE-2023-49103) έχει λάβει βαθμολογία 10/10 στην κλίμακα σοβαρότητας ευπαθειών. Μπορεί να χρησιμοποιηθεί για την κλοπή credentials και πληροφοριών διαμόρφωσης σε containerized deployments, επηρεάζοντας όλα τα environment variables του webserver. Η ευπάθεια επηρεάζει το graphapi 0.2.0 έως 0.3.0. Το πρόβλημα προκύπτει από την εξάρτηση της εφαρμογής από μια βιβλιοθήκη τρίτου μέρους που εκθέτει PHP environment details μέσω μιας διεύθυνσης URL. Με αυτόν τον τρόπο, εκθέτει admin passwords, mail server credentials και license keys.
Για να αντιμετωπίσετε το πρόβλημα, πρέπει να διαγράψετε το αρχείο “owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php”, να απενεργοποιήσετε τη λειτουργία “phpinfo” σε Docker containers και να αλλάξετε δυνητικά εκτεθειμένα στοιχεία, όπως τον κωδικό πρόσβασης διαχειριστή του ownCloud, mail server, database credentials και Object-Store/S3 access keys.
“Είναι σημαντικό να τονίσουμε ότι η απλή απενεργοποίηση της εφαρμογής graphapi δεν εξαλείφει την ευπάθεια“, προειδοποιεί η ownCloud.
Δείτε επίσης: Fortinet: Προειδοποιεί για κρίσιμη ευπάθεια στο FortiSIEM
“Επιπλέον, το phpinfo εκθέτει διάφορες άλλες ευαίσθητες λεπτομέρειες διαμόρφωσης που θα μπορούσαν να εκμεταλλευτούν οι επιτιθέμενοι για τη συλλογή πληροφοριών σχετικά με το σύστημα. Επομένως, ακόμα κι αν το ownCloud δεν εκτελείται σε containerized environment, αυτή η ευπάθεια θα πρέπει να εξακολουθεί να προκαλεί ανησυχία“.
Η δεύτερη ευπάθεια, με βαθμολογία 9,8/10, επηρεάζει τις core library versions 10.6.0 έως 10.13.0 του ownCloud και είναι ένα πρόβλημα παράκαμψης ελέγχου ταυτότητας. Επιτρέπει στους εισβολείς να έχουν πρόσβαση, να τροποποιούν ή να διαγράφουν οποιοδήποτε αρχείο χωρίς έλεγχο ταυτότητας, εάν το username του χρήστη είναι γνωστό και δεν έχει διαμορφωθεί ένα signing-key (προεπιλεγμένη ρύθμιση).
Για να αντιμετωπίσετε αυτή την ευπάθεια, πρέπει να αρνηθείτε τη χρήση pre-signed URLs, εάν δεν έχει ρυθμιστεί signing key για τον κάτοχο των αρχείων.
Η τρίτη ευπάθεια είναι η λιγότερο σοβαρή (9/10) και είναι ένα ζήτημα παράκαμψης subdomain validation που επηρεάζει όλες τις εκδόσεις της βιβλιοθήκης oauth2 κάτω από την 0.6.1. Στην εφαρμογή oauth2, ένας εισβολέας μπορεί να εισαγάγει μια ειδικά διαμορφωμένη διεύθυνση URL ανακατεύθυνσης, που παρακάμπτει το validation code, επιτρέποντας την ανακατεύθυνση callbacks σε ένα domain που ελέγχεται από τον εισβολέα.
Δείτε επίσης: Fortinet: Προειδοποιεί για κρίσιμη ευπάθεια στο FortiSIEM
Οπότε για να προστατευτείτε από αυτή την ευπάθεια πρέπει να φροντίσετε το validation code στην εφαρμογή Oauth2. Μια προσωρινή λύση, που προτείνει η ownCloud, είναι η απενεργοποίηση της επιλογής “Allow Subdomains”.
Οι παραπάνω τρεις ευπάθειες στο λογισμικό ownCloud είναι σημαντικές και θα μπορούσαν να οδηγήσουν σε έκθεση ευαίσθητων πληροφοριών, κλοπή δεδομένων και πολλά άλλα.
Επομένως, οι χρήστες πρέπει να εφαρμόσουν άμεσα τις συμβουλές μετριασμού και τις ενημερώσεις για να παραμείνουν ασφαλείς. Οι ενημερώσεις λoγισμικού είναι ζωτικής σημασίας για την κυβερνοασφάλεια. Όταν οι εταιρείες λογισμικού ανακαλύπτουν κενά ασφαλείας ή ευπάθειες στον κώδικά τους, αναπτύσσουν ενημερώσεις για να διορθώσουν αυτά τα προβλήματα. Αυτές οι ενημερώσεις περιλαμβάνουν συνήθως διορθώσεις που αποτρέπουν τους κακόβουλους χρήστες από το να εκμεταλλευτούν τις ευπάθειες και να προκαλέσουν ζημιές στο σύστημα. Οι ενημερώσεις λογισμικού αποτελούν μια εξαιρετικά σημαντική διαδικασία για τη συντήρηση και την ασφάλεια των ψηφιακών συστημάτων και δικτύων, γι’ αυτό βιαστείτε!
Πηγή: www.bleepingcomputer.com
