Une nouvelle vulnérabilité critique impactant ownCloud via son app graphapi 0.2.0-0.3.0 (Graph API), et identifiée en tant que CVE-2023-49103, a obtenu la score CVSS de 10. L’équipe Stormshield Customer Security Lab dévoile les protections fournies par Stormshield face à cette vulnérabilité ownCloud.
Le contexte de la vulnérabilité ownCloud
Une nouvelle vulnérabilité portant le numéro CVE-2023-49103 a été découverte sur le produit suivant : ownCloud app graphapi, de la version 0.2.0 jusqu’à la 0.3.0.
Cette vulnérabilité a obtenu le score CVSS 3.1 de 10, le plus élevé possible. Cette faille permet à un attaquant, à distance et sans authentification préalable, de lire un fichier phpinfo contenant beaucoup d’informations sensibles sur l’environnement local (comme par exemple les détails de configuration ou encore les informations utilisateurs). Sur des environnements en conteneurs, la situation est encore pire puisque cela inclut également les mots de passe administrateurs, de serveurs mails, de bases de données, et la clé de licence.
Les détails techniques de la vulnérabilité ownCloud
L’app grapapi fonctionne grâce à la librairie tiers GetPhpInfo.php qui contient une URI. Lorsque celle-ci est accédée, une page web dévoile de nombreux détails sur l’environnement du serveur web, qui peuvent être lus sans authentification.
L’URI en question est la suivante : /owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
Les moyens de protections Stormshield face à la vulnérabilité ownCloud
Protection avec Stormshield Network Security
La signature IPS suivante détecte et bloque cette tentative d’exploitation :
- http:url:decoded.417 -> Exploitation d'une vulnérabilité de type divulgation d'informations sur ownCloud (CVE-2023-49103)
Indice de confiance de la protection proposée par Stormshield |
Indice de confiance de l’absence de faux positif |
Recommandations face à la vulnérabilité ownCloud
Nous recommandons fortement les actions suivantes :
- Suppression du fichier owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
- Mettre à jour ownCloud et l’app graphapi dans leur dernière version
- Pour les environnements en conteneurs, mettre à jours les mots de passe suivants :
- Le mot de passe administrateur ownCloud
- Le mot de passe du serveur mail
- Le mot de passe de la base de données
- La clé d’accès Object-Store/S3
