11/21/2023にownCloudの脆弱性(Critical: CVE-2023-49103, CVE-2023-49104, High: CVE-2023-49105)が公開されました。こちらを狙った攻撃も既に行われている様です。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。
ニュース・その他
- bleepingcomputer：Greynoiseのレポートによると、すでに攻撃者が攻撃を始めている様です。
CVSS/プライオリティ
- CVE-2023-49103
- 影響するバージョン
- graphapi 0.2.0 – 0.3.0
- 一次情報源
- Priority
- Critical
- CVSS Base Score / CVSS Vector
- Vendor: CVSS v3 Base Score: 10
- Vendor: CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 影響するバージョン
- CVE-2023-49104
- 影響するバージョン
- oauth2 < 0.6.1
- 一次情報源
- Priority
- Critical
- CVSS Base Score / CVSS Vector
- Vendor: CVSS v3 Base Score: 9
- Vendor: CVSS v3 Vector: AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
- 影響するバージョン
- CVE-2023-49105
- 影響するバージョン
- core 10.6.0 – 10.13.0
- 一次情報源
- Priority
- High
- CVSS Base Score / CVSS Vector
- Vendor: CVSS v3 Base Score: 9.8
- Vendor: CVSS v3 Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 影響するバージョン
CVE概要(詳細はCVEのサイトをご確認ください)
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49103
- 「graphapi」アプリは、URLを提供するサードパーティライブラリに依存しています。このURLにアクセスすると、PHP環境(phpinfo)の詳細が表示されます。この情報には、Webサーバーのすべての環境変数が含まれます。コンテナ化して展開している場合には、この環境変数にownCloud管理者のパスワード、メールサーバーのCredential、ライセンスキーなどの機密データが含まれる場合があります。さらに、phpinfoには、攻撃者がシステムに関する情報を収集するために悪用する可能性がある、他のさまざまな構成情報が含まれています。したがって、ownCloudがコンテナ化されていない場合でも、この脆弱性は依然として問題となります。
- 2023年2月以前のDockerコンテナにはCredential漏洩の問題はありません。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49104
- 問題の有るバージョンのoauth2アプリ内では、攻撃者が特別に作成したリダイレクトURLを渡すことで検証機構をバイパスできるため、攻撃者が制御するTLDにコールバックをリダイレクトすることができます。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49105
- 被害者となるユーザー名がわかっていて被害者に署名キーが設定されていない(デフォルト)場合には、認証なしでファイルにアクセス、変更、削除することが可能です。
対処方法
ownCloudを更新してください。細かい情報は一次情報源を御確認ください。
