НКЦКИ предупреждает о наличии уязвимостей в ПО ownCloud

Всего в различных компонентах ownCloud обнаружено три уязвимости, эксплуатация которых может позволить злоумышленнику получить доступ к конфиденциальным данным в целевой системе, модифицировать или удалить любой файл в уязвимом приложении, а также перенаправить данные на подконтрольный злоумышленнику домен.

Описание уязвимостей приведено в бюллетене НКЦКИ.

В целях минимизации возможных рисков рекомендуется обновить программное обеспечение ownCloud и принять меры, предложенные компанией-разработчиком:

В приложении Graph API:

удалить файл owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php;
сменить потенциально скомпрометированные аутентификационные данные, включая пароль администратора ownCloud, учетные данные от почтового сервера, БД и ключи доступа для Object-Store/S3.

Для компонента API WebDAV следует установить запрет на использование pre-signed URL, если для владельца файлов не настроен ключ подписи, а также необходимо настроить ключи подписи для всех пользователей.

Если невозможно в данный момент выполнить обновление, необходимо осуществить следующие действия:

удалить файл owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php;
отключить функцию phpinfo в контейнерах Docker;
в приложении Oauth2 необходимо отключить опцию Allow Subdomains;
в API WebDAV необходимо настроить ключи подписи для всех пользователей, а также установить запрет на использование pre-signed URL, если для владельца файлов не настроен ключ подписи.

Скачать бюллетень НКЦКИ в формате PDF:

Обновление в разделе «Конференции» Конференция «Технологии SOC»

Все новости

Другие материалы

Новости

НКЦКИ предупреждает о наличии уязвимостей в ПО ownCloud

701753

Другие материалы