Дата публикации:
Общие сведения
В публичном доступе был опубликован Proof of Concept (PoC), позволяющий злоумышленнику получить конфигурационные данные PHP-окружения из файла GetPhpInfo.php модуля graphapi.
Данные могут содержать следующую чувствительную информацию: логин и пароль аккаунта администратора, почтового сервера, лицензионный ключ OwnCloud'а, версию PHP, версию операционной системы, внутренние IP-адреса, загруженные модули и их конфигурации, ключи к Object-Store/S3 хранилищам.
Рейтинг
В соответствии с CVSSv3.1 уязвимости присвоен рейтинг: 10
Уязвимые версии и продукты
- graphapi 0.2.0 – 0.3.0;
- официальные docker-контейнеры OwnCloud, выпущенные после Февраля 2023.
Рекомендации
Если в вашей инфраструктуре используется ПО OwnCloud, специалисты Центра мониторинга и реагирования рекомендуют пользователям следующие действия:
1. установить последние обновления для OwnCloud;
2. отключить функцию phpinfo() в файле php.ini;
3. удалить на сервере OwnCloud файл по пути /var/www/owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php;
4. проверить актуальность подписки на модуль Security updates;
5. добавить в блокирующее правило IDPS сигнатуры:
- OwnCloud Info Disclosure.
