開源文件共享軟件 ownCloud 近日警告稱存在三個嚴重安全漏洞，其中一個漏洞可能會暴漏管理員密碼和郵件服務器憑證。

ownCloud 是一款開源文件同步和共享解決方案，個人和組織均可通過這個自托管平臺管理和共享文件。

其用戶包括企業、教育機構、政府機構和注重隱私的個人，他們希望數據自主可控，而不是將數據托管給第三方云存儲提供商。據 OwnCloud 網站報告，其安裝量達 20 萬次，擁有 600 家企業客戶和 2 億用戶。

該軟件由多個庫和組件組成，共同為云存儲平臺提供一系列功能。

嚴重的數據泄露風險

上周早些時候，該項目的開發團隊發布了三個安全公告，警告稱 ownCloud 的組件中存在三個不同的漏洞，可能會嚴重影響其完整性。

第一個漏洞被追蹤為 CVE-2023-49103，CVSS v3 最高分為 10 分。該漏洞可用于在容器化部署中竊取憑證和配置信息，影響網絡服務器的所有環境變量。

該漏洞影響了 graphapi 0.2.0 至 0.3.0，問題源于該應用程序對第三方庫的依賴，該庫通過 URL 公開了 PHP 環境詳細信息，從而暴露了 ownCloud 管理員密碼、郵件服務器憑據和許可證密鑰。

官方建議的修復方法是刪除 "owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php "文件，禁用 Docker 容器中的 "phpinfo "函數，并更改可能暴露的機密，如 ownCloud 管理員密碼、郵件服務器、數據庫憑據和對象存儲/S3 訪問密鑰。

安全公告警告中強調稱，僅僅禁用 graphapi 應用程序并不能消除漏洞。

此外，phpinfo 還暴露了其他各種潛在的敏感配置細節，攻擊者可利用這些細節收集系統信息。因此，即使 ownCloud 沒有在容器化環境中運行，這個漏洞仍應引起關注。

第二個漏洞的 CVSS v3 得分為 9.8，該漏洞可能影響 ownCloud 核心庫 10.6.0 至 10.13.0 版本，涉及到身份驗證旁路問題。

如果用戶的用戶名已知且未配置簽名密鑰（默認設置），攻擊者就有可能在未經身份驗證的情況下訪問、修改或刪除任何文件。

已公布的解決方案是，如果沒有為文件所有者配置簽名密鑰，則拒絕使用預簽名 URL。

第三個不太嚴重的漏洞（CVSS v3 得分：9），涉及到子域驗證繞過問題，影響 0.6.1 以下所有版本的 oauth2 庫。

在 oauth2 應用程序中，攻擊者可以輸入特制的重定向 URL，繞過驗證碼，將回調重定向到攻擊者控制的域。

官方建議采取的緩解措施是加固 Oauth2 應用程序中的驗證代碼。公告中分享的臨時解決方法是禁用 "允許子域 "選項。

公告中描述的三個安全漏洞嚴重影響了 ownCloud 環境的安全性和完整性，可能導致敏感信息暴露、隱蔽數據盜竊、網絡釣魚攻擊等。

文件共享平臺的安全漏洞一直受到攻擊，CLOP 等勒索軟件組織利用這些漏洞對全球數千家公司進行數據盜竊攻擊。

官方建議ownCloud 的管理員立即應用建議的修復程序，以降低風險。