Il software open source di condivisione file ownCloud ha recentemente rivelato tre vulnerabilità di sicurezza critiche, tra cui una che potrebbe esporre le password degli amministratori e le credenziali dei server di posta.
Dettagli sulle Vulnerabilità
ownCloud è una soluzione open-source per la sincronizzazione e la condivisione di file, progettata per individui e organizzazioni che desiderano gestire e condividere file attraverso una piattaforma auto-ospitata. Utilizzato da aziende, istituti educativi, agenzie governative e individui attenti alla privacy, ownCloud permette di mantenere il controllo sui propri dati anziché ospitarli su fornitori di cloud storage di terze parti.Il software è composto da diverse librerie e componenti che lavorano insieme per fornire una gamma di funzionalità per la piattaforma di cloud storage.
Rischi di Gravi Violazioni dei Dati
Il team di sviluppo di ownCloud ha emesso tre bollettini di sicurezza, avvertendo di tre diverse falle nei componenti di ownCloud che potrebbero impattare gravemente la sua integrità. La prima falla, tracciata come CVE-2023-49103, ha ricevuto il punteggio massimo CVSS v3 di 10. La falla può essere utilizzata per rubare credenziali e informazioni di configurazione in ambienti containerizzati, impattando tutte le variabili d’ambiente del webserver. Questo problema deriva dalla dipendenza dell’app da una libreria di terze parti che espone dettagli dell’ambiente PHP tramite URL, esponendo password dell’amministratore di ownCloud, credenziali del server di posta e chiavi di licenza.
Soluzioni e mitigazioni
La soluzione raccomandata è eliminare il file ‘owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php’, disabilitare la funzione ‘phpinfo’ nei container Docker e cambiare i segreti potenzialmente esposti come la password dell’amministratore di ownCloud, le credenziali del server di posta, del database e le chiavi di accesso Object-Store/S3. La seconda questione, con un punteggio CVSS v3 di 9.8, impatta le versioni della libreria core di ownCloud dalla 10.6.0 alla 10.13.0, ed è un problema di bypass dell’autenticazione. La terza e meno grave falla (punteggio CVSS v3: 9) è un problema di bypass della validazione dei sottodomini che impatta tutte le versioni della libreria oauth2 al di sotto della 0.6.1.
Implicazioni e azioni da prendere
Queste vulnerabilità critiche hanno un impatto significativo sulla sicurezza e l’integrità dell’ambiente ownCloud, potenzialmente portando all’esposizione di informazioni sensibili, furto di dati, attacchi di phishing e altro. È fondamentale che gli amministratori di ownCloud applichino immediatamente le correzioni raccomandate e eseguano gli aggiornamenti delle librerie il prima possibile per mitigare questi rischi.
