Açık Kaynak Dosya Paylaşım Yazılımı Owncloud, yönetici şifrelerini ve posta sunucusu kimlik bilgilerini ortaya çıkarabilen biri de dahil olmak üzere üç kritik-sözlü güvenlik açıklığını uyarıyor.
Owncloud, kendi barındırılan bir platform aracılığıyla dosyaları yönetmek ve paylaşmak isteyen bireyler ve kuruluşlar için tasarlanmış açık kaynaklı bir dosya senkronizasyonu ve paylaşım çözümüdür.
Üçüncü taraf bulut depolama sağlayıcılarında barındırmak yerine verileri üzerinde kontrolü sürdürmeyi tercih eden işletmeler ve işletmeler, eğitim enstitüleri, devlet kurumları ve gizlilik bilincine sahip bireyler tarafından kullanılır. Owncloud'un sitesi 200.000 kurulum, 600 kurumsal müşteri ve 200 milyon kullanıcı rapor ediyor.
Yazılım, bulut depolama platformu için bir dizi işlev sağlamak için birlikte çalışan birden fazla kütüphane ve bileşenden oluşur.
Projenin arkasındaki geliştirme ekibi, bu haftanın başlarında üç güvenlik bülteni yayınladı ve Owncloud'un bileşenlerinde bütünlüğünü ciddi şekilde etkileyebilecek üç farklı kusur uyardı.
İlk kusur CVE-2023-49103 olarak izlenir ve maksimum CVSS V3 skoru aldı.
Graphapi 0.2.0 ila 0.3.0'ı etkileyen sorun, uygulamanın PHP ortam detaylarını bir URL aracılığıyla ortaya çıkaran, OwnCloud Yönetici şifrelerini, posta sunucusu kimlik bilgilerini ve lisans anahtarlarını ortaya çıkaran üçüncü taraf bir kütüphaneye bağımlılığından kaynaklanmaktadır.
Önerilen düzeltme, 'owncloud/apps/grafapi/satıcı/microsoft/microsoft-graph/testler/getphpinfo.php' dosyasını silmek, docker kaplarındaki 'phpinfo' işlevini devre dışı bırakmak ve kendisiCloud yönetici şifresi gibi potansiyel olarak açıkta kalan sırları değiştirmektir. , posta sunucusu, veritabanı kimlik bilgileri ve nesne-mağaza/s3 erişim anahtarları.
Güvenlik bültenini uyarıyor, "Graphapi uygulamasını devre dışı bırakmanın güvenlik açığını ortadan kaldırmadığını vurgulamak önemlidir."
"Ayrıca, Phpinfo, sistem hakkında bilgi toplamak için bir saldırgan tarafından kullanılabilecek potansiyel olarak hassas diğer çeşitli yapılandırma ayrıntılarını ortaya koyuyor. Bu nedenle, Owncloud konteynerize bir ortamda çalışmasa bile, bu güvenlik açığı hala endişe kaynağı olmalıdır."
CVSS V3 puanı 9.8 ile ikinci sayı, Owncloud Core Library sürümlerini 10.6.0 ila 10.13.0 ile etkiliyor ve bir kimlik doğrulama baypas problemi.
Kusur, kullanıcının kullanıcı adı biliniyorsa ve bir imza anahtarı (varsayılan ayar) yapılandırmadıysa, saldırganların kimlik doğrulaması olmadan herhangi bir dosyaya erişmesini, değiştirmesini veya silmesini mümkün kılar.
Yayınlanan çözüm, dosyaların sahibi için hiçbir imza anahtarı yapılandırılmamışsa, önceden imzalanmış URL'lerin kullanımını reddetmektir.
Üçüncü ve daha az şiddetli kusur (CVSS V3 skoru: 9), OAUTH2 kütüphanesinin tüm sürümlerini 0.6.1'in altına etkileyen bir alt alan doğrulama baypas sorunudur.
OAuth2 uygulamasında, bir saldırgan, doğrulama kodunu atlayan özel olarak hazırlanmış bir yönlendirme URL'sini girerek saldırgan tarafından kontrol edilen bir etki alanına geri çağrıların yeniden yönlendirilmesine izin verebilir.
Önerilen azaltma, OAuth2 uygulamasındaki doğrulama kodunu sertleştirmektir. Bültende paylaşılan geçici bir geçici çözüm, "Alt alanlara izin ver" seçeneğini devre dışı bırakmaktır.
Bültenlerde açıklanan üç güvenlik kusuru, kendi eşyası ortamının güvenliğini ve bütünlüğünü önemli ölçüde etkiler, bu da potansiyel olarak hassas bilgilerin maruz kalmasına, gizli veri hırsızlığına, kimlik avı saldırılarına ve daha fazlasına yol açar.
Dosya paylaşım platformlarındaki güvenlik açıkları, CLOP gibi fidye yazılımı gruplarıyla, bunları dünya çapında şirketlerin thousnad'larına veri hırsızlığı saldırılarında kullanılarak sürekli saldırı altındadır.
Bu nedenle, owncloud yöneticilerinin önerilen düzeltmeleri hemen uygulaması ve bu riskleri azaltmak için kütüphane güncellemelerini mümkün olan en kısa sürede gerçekleştirmeleri önemlidir.
QNAP, QTS OS, Uygulamalardaki Kritik Komut Enjeksiyon Kusurları konusunda uyarıyor
Fortinet, Fortisiem'deki kritik komut enjeksiyon hatası uyarıyor
Hackerlar looney tunable
F5, uzaktan kod yürütme saldırılarına izin vererek Big-Ip Auth Bypass'ı düzeltir
Microsoft: Hackerlar, ihlal edilen SQL sunucuları aracılığıyla Azure Cloud VM'leri hedefleyin
Kaynak: Bleeping Computer