Siber Muhbir

Güvenlik açıklarının kısa bir açıklaması aşağıdaki gibidir -

• 0.2.0'dan 0.3.0'a kadar graphapi sürümlerini etkileyen kapsayıcılı dağıtımlarda hassas kimlik bilgilerinin ve yapılandırmanın açıklanması. (CVSS puanı: 10.0)
• 10.6.0'dan 10.13.0'a kadar olan çekirdek sürümleri etkileyen Önceden İmzalanmış URL'leri kullanarak WebDAV API Kimlik Doğrulamasını Atlama (CVSS puanı: 9.8)
• 0.6.1 sürümünden önceki oauth2'yi etkileyen Alt Alan Adı Doğrulama Atlaması (CVSS puanı: 9.0)

"'Graphapi' uygulaması, bir URL sağlayan üçüncü taraf bir kitaplığa dayanıyor. Bu URL'ye erişildiğinde, PHP ortamının (phpinfo) yapılandırma ayrıntılarını ortaya çıkarır, "dedi şirket ilk kusurdan.

"Bu bilgiler, web sunucusunun tüm ortam değişkenlerini içerir. Kapsayıcılı dağıtımlarda, bu ortam değişkenleri ownCloud yönetici parolası, posta sunucusu kimlik bilgileri ve lisans anahtarı gibi hassas verileri içerebilir."

Düzeltme olarak ownCloud, "owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php" dosyasını silmenizi ve 'phpinfo' işlevini devre dışı bırakmanızı önerir. Ayrıca kullanıcılara ownCloud yönetici parolası, posta sunucusu ve veritabanı kimlik bilgileri ve Object-Store/S3 erişim anahtarları gibi gizli dizileri değiştirmelerini tavsiye ediyor.

İkinci sorun, kurbanın kullanıcı adı biliniyorsa ve kurbanın varsayılan davranış olan yapılandırılmış bir imzalama anahtarı yoksa, herhangi bir dosya sans kimlik doğrulamasına erişmeyi, değiştirmeyi veya silmeyi mümkün kılar.

Son olarak, üçüncü kusur, bir saldırganın "doğrulama kodunu atlayan ve böylece saldırganın geri aramaları saldırgan tarafından kontrol edilen bir TLD'ye yönlendirmesine izin veren özel hazırlanmış bir yönlendirme URL'sini iletmesine" izin veren uygunsuz erişim kontrolü durumuyla ilgilidir.

OwnCloud, oauth2 uygulamasındaki doğrulama koduna sağlamlaştırma önlemleri eklemenin yanı sıra, kullanıcıların geçici bir çözüm olarak "Alt Etki Alanlarına İzin Ver" seçeneğini devre dışı bırakmalarını önerdi.

Açıklama, CrushFTP çözümünde (CVE-2023-43177) kimliği doğrulanmamış bir saldırgan tarafından dosyalara erişmek, ana bilgisayarda rastgele programlar çalıştırmak ve düz metin parolaları elde etmek için silah haline getirilebilecek kritik bir uzaktan kod yürütme güvenlik açığı için bir kavram kanıtı (PoC) istismarı olarak yayınlandı.

Converge güvenlik araştırmacısı Ryan Emmons tarafından keşfedilen ve bildirilen sorun, 10 Ağustos 2023'te piyasaya sürülen CrushFTP sürüm 10.5.2'de ele alındı.

"Bu güvenlik açığı kritiktir çünkü herhangi bir kimlik doğrulama gerektirmez," dedi CrushFTP o sırada yayınlanan bir danışma belgesinde. "Anonim olarak yapılabilir ve diğer kullanıcıların oturumunu çalabilir ve bir yönetici kullanıcıya iletilebilir."