开源私有云解决方案ownCloud出现高危漏洞可能会泄露所有数据 – 蓝点网
ownCloud 是开源一款开源免费的私有云解决方案,个人和企业都可以使用 ownCloud 搭建自己的私有所有数据多租户网盘而无需使用第三方商业网盘或云存储。
上周 ownCloud 在安全中心公布了三枚高危漏洞,云解这些漏洞都可能会对 ownCloud 造成数据泄露风险,决方因此建议用户按照官方说明应用缓解方案,现高泄露提升安全性。危漏网
第一个漏洞是蓝点 Docker 版部署过程中泄露敏感凭据和配置信息,ownCloud 给这个漏洞 CVSS 满分的开源评级,也就是私有所有数据 10/10 分。
这个漏洞来源于第三方库 graphapi,云解当访问相关 URL 时服务器会暴露 PHP 环境信息,决方即 phpinfo 里的现高泄露配置信息,这些信息一般是危漏网包含服务器的所有环境变量,但通过 Docker 部署时这些环境变量可能包含敏感数据。蓝点
敏感数据包括 ownCloud 管理员密码、开源邮件服务器凭据和许可证密钥等,而且仅仅是禁用 graphapi 并不能彻底解决该漏洞
官方目前采取的方案是在容器版中禁用了 phpinfo,删除该文件:owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
除了删除文件外,ownCloud 建议用户修改管理员密码、修改邮件服务器凭据、修改数据库凭据 / 密码、修改对象存储 / AWS S3 访问密钥确保安全。
有关该漏洞请查看:https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
第二个漏洞是预签名 URL 绕过 WebDAV API 身份验证,该漏洞评分为 9.8 分。
默认情况下并没有配置签名密钥,如果攻击者知道目标用户名即可无需任何身份验证进行访问,包括访问、修改或删除任何文件。
这个问题影响 ownCloud core 10.6.0~10.13.0 版,建议是如果没有为文件所有者配置签名密钥,那就拒绝使用预签名 URL。
有关该漏洞请查看:https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
第三个漏洞是子域验证绕过问题,这个和 oauth 验证有关,CVSS 评分为 9 分。
在 oauth2 应用程序中攻击者可以传入特制的重定向 URL,在进行重定向时可以绕过验证代码,从而允许攻击者将回调重定向到攻击者控制的域名中。
该问题影响 oauth2 0.6.1 以下版本,官方建议是强化 oauth2 验证代码,最好是直接禁用 “允许子域” 选项来封禁该漏洞的利用。
有关该漏洞请查看:https://owncloud.com/security-advisories/subdomain-validation-bypass/
相关文章:
- 对于话松信商业家具负责人:以转变应答行业模式
- 建制人解稀《申明狼籍:拂晓(inFamous:First Light)》细节 游戏仍保持1080P辩白率
- 《巫师》团队喜喷DLC 知己游戏没有屑与渣滓为伍
- 国止Xbox One跳票后绝:微硬赚偿赠送两款游戏
- 姜葱煎焗马鲛鱼的做法
- 女亲开割草机碾碎海量游戏光盘 女子当场细力奔溃
- 《植物大年夜战僵尸:花圃战役(Plants vs Zombies:Garden Warfare)》“郊区(Suburbination)”DLC免费支 EA真业界知己
- 最快速率上足 RPG足游《天之劫》新足攻略
- 年销售额为100亿的建材/板材/家居/新批发云平台向广东省发改委存案
- Gamescom 2014:中媒GameTrailers评比本届科隆游戏展Xbox One战PS4仄台最好游戏TOP5
相关推荐:
- 提箱式围栏服饰打包机产地旧衣服缩短打包机液压全自动
- 真正科技好教 游仄易远星空Moto 360智妙腕表开箱
- 建制人解稀《申明狼籍:拂晓(inFamous:First Light)》细节 游戏仍保持1080P辩白率
- GamesCom 2014:Sierra重回游戏界 《多少战役3:维度(Geometry Wars 3: Dimensions)》灿素截图尾曝
- 蒜苔黑椒汁煎肉的做法
- 下校将《魔兽DOTA(DotaAllStar)》引进讲堂产逝世热议 西席评价:电子竞技没有即是支散游戏
- 网曝超多元化游戏俱乐部 玩家惊吸:“的确是天国”
- PS4/PS2/PS游戏有看进驻PlayStation Now
- 澳门星记猪骨有哪些优势
- 《浑沌之子(Chaos;Child)》游戏18禁!妹子兵器神似变同黄瓜