開源私有云解決方案ownCloud出現(xiàn)高危漏洞可能會泄露所有數(shù)據(jù) – 藍(lán)點(diǎn)網(wǎng)
ownCloud 是開源一款開源免費(fèi)的私有云解決方案,個人和企業(yè)都可以使用 ownCloud 搭建自己的私有所有數(shù)據(jù)多租戶網(wǎng)盤而無需使用第三方商業(yè)網(wǎng)盤或云存儲。
上周 ownCloud 在安全中心公布了三枚高危漏洞,云解重慶美女快餐外圍上門外圍女(微信180-4582-8235)提供1-2線熱門城市快速安排30分鐘到達(dá)這些漏洞都可能會對 ownCloud 造成數(shù)據(jù)泄露風(fēng)險(xiǎn),決方因此建議用戶按照官方說明應(yīng)用緩解方案,現(xiàn)高泄露提升安全性。危漏網(wǎng)

第一個漏洞是藍(lán)點(diǎn) Docker 版部署過程中泄露敏感憑據(jù)和配置信息,ownCloud 給這個漏洞 CVSS 滿分的開源評級,也就是私有所有數(shù)據(jù) 10/10 分。
這個漏洞來源于第三方庫 graphapi,云解當(dāng)訪問相關(guān) URL 時服務(wù)器會暴露 PHP 環(huán)境信息,決方重慶美女快餐外圍上門外圍女(微信180-4582-8235)提供1-2線熱門城市快速安排30分鐘到達(dá)即 phpinfo 里的現(xiàn)高泄露配置信息,這些信息一般是危漏網(wǎng)包含服務(wù)器的所有環(huán)境變量,但通過 Docker 部署時這些環(huán)境變量可能包含敏感數(shù)據(jù)。藍(lán)點(diǎn)
敏感數(shù)據(jù)包括 ownCloud 管理員密碼、開源郵件服務(wù)器憑據(jù)和許可證密鑰等,而且僅僅是禁用 graphapi 并不能徹底解決該漏洞
官方目前采取的方案是在容器版中禁用了 phpinfo,刪除該文件:owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
除了刪除文件外,ownCloud 建議用戶修改管理員密碼、修改郵件服務(wù)器憑據(jù)、修改數(shù)據(jù)庫憑據(jù) / 密碼、修改對象存儲 / AWS S3 訪問密鑰確保安全。
有關(guān)該漏洞請查看:https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
第二個漏洞是預(yù)簽名 URL 繞過 WebDAV API 身份驗(yàn)證,該漏洞評分為 9.8 分。
默認(rèn)情況下并沒有配置簽名密鑰,如果攻擊者知道目標(biāo)用戶名即可無需任何身份驗(yàn)證進(jìn)行訪問,包括訪問、修改或刪除任何文件。
這個問題影響 ownCloud core 10.6.0~10.13.0 版,建議是如果沒有為文件所有者配置簽名密鑰,那就拒絕使用預(yù)簽名 URL。
有關(guān)該漏洞請查看:https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
第三個漏洞是子域驗(yàn)證繞過問題,這個和 oauth 驗(yàn)證有關(guān),CVSS 評分為 9 分。
在 oauth2 應(yīng)用程序中攻擊者可以傳入特制的重定向 URL,在進(jìn)行重定向時可以繞過驗(yàn)證代碼,從而允許攻擊者將回調(diào)重定向到攻擊者控制的域名中。
該問題影響 oauth2 0.6.1 以下版本,官方建議是強(qiáng)化 oauth2 驗(yàn)證代碼,最好是直接禁用 “允許子域” 選項(xiàng)來封禁該漏洞的利用。
有關(guān)該漏洞請查看:https://owncloud.com/security-advisories/subdomain-validation-bypass/
相關(guān)推薦
- 中國音數(shù)協(xié)第一副理事長張毅君在中國音數(shù)協(xié)游戲博物館開館儀式上的致辭
- 《奇像大年夜師:星耀季候》上市預(yù)報(bào)片分享 新歌/真機(jī)掀示
- 珍稀好禮限時開搶《仙劍奇?zhèn)b傳3D回開》富可敵國開啟
- 《圣劍左券》新質(zhì)料片本日上線 開啟跨服苦戰(zhàn)
- 【Express】47款游戲試玩!鎖定BTOC互動娛樂館N5館ChinaJoy Express試玩區(qū)
- 《奇同女俠》新預(yù)報(bào)公布 齊神拆女俠吊挨人類
- 陳肉韓東君為兵士代止 《光明大年夜陸》本日iOS尾收
- 《彩虹六號:同種》新干員“GRIDLOCK”先容 針刺圈套
桑間濮上網(wǎng)



