O software de compartilhamento de arquivos de código aberto ownCloud alerta sobre três vulnerabilidades de segurança de gravidade crítica. As vulnerabilidades incluem uma que pode expor senhas de administradores e credenciais de servidores de e-mail.
O ownCloud
O ownCloud é uma solução de sincronização e compartilhamento de arquivos de código aberto projetada para indivíduos e organizações que desejam gerenciar e compartilhar arquivos por meio de uma plataforma auto-hospedada. Ele é usado por empresas e empresas, institutos educacionais, agências governamentais e indivíduos preocupados com a privacidade que preferem manter o controle sobre seus dados em vez de hospedá-los em provedores terceirizados de armazenamento em nuvem.
O site da OwnCloud relata 200.000 instalações, 600 clientes corporativos e 200 milhões de usuários. O software consiste em várias bibliotecas e componentes que trabalham juntos para fornecer uma gama de funcionalidades para a plataforma de armazenamento em nuvem.
Riscos graves de violação de dados com falha crítica do ownCloud
A equipe de desenvolvimento por trás do projeto emitiu três boletins de segurança no início desta semana, alertando sobre três falhas diferentes nos componentes do ownCloud que poderiam afetar gravemente sua integridade. A primeira falha é rastreada como CVE-2023-49103 e recebeu uma pontuação máxima de 10 no CVSS v3. A falha pode ser usada para roubar credenciais e informações de configuração em implantações em contêineres, impactando todas as variáveis de ambiente do servidor web.
Afetando o graphapi 0.2.0 a 0.3.0, o problema surge da dependência do aplicativo de uma biblioteca de terceiros que expõe detalhes do ambiente PHP por meio de uma URL, expondo senhas de administrador do ownCloud, credenciais de servidor de e-mail e chaves de licença. A correção recomendada é excluir o arquivo ‘owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php’, desabilitar a função ‘phpinfo’ em contêineres Docker e alterar segredos potencialmente expostos, como a senha de administrador do ownCloud, servidor de email, credenciais de banco de dados e chaves de acesso Object-Store/S3.
O segundo problema, com uma pontuação CVSS v3 de 9,8, afeta as versões 10.6.0 a 10.13.0 da biblioteca principal do ownCloud e é um problema de desvio de autenticação. A falha permite que invasores acessem, modifiquem ou excluam qualquer arquivo sem autenticação se o nome de usuário do usuário for conhecido e eles não tiverem configurado uma chave de assinatura (configuração padrão).
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
A solução publicada é negar o uso de URLs pré-assinados se nenhuma chave de assinatura estiver configurada para o proprietário dos arquivos.
A terceira e menos grave falha (pontuação CVSS v3: 9) é um problema de desvio de validação de subdomínio que afeta todas as versões da biblioteca oauth2 abaixo de 0.6.1. No aplicativo oauth2, um invasor pode inserir uma URL de redirecionamento especialmente criada que ignora o código de validação, permitindo o redirecionamento de retornos de chamada para um domínio controlado pelo invasor.
A mitigação recomendada é proteger o código de validação no aplicativo Oauth2. Uma solução temporária compartilhada no boletim é desabilitar a opção “Permitir subdomínios”.
As três falhas de segurança descritas nos boletins impactam significativamente a segurança e a integridade do ambiente ownCloud, podendo levar à exposição de informações confidenciais, roubo furtivo de dados, ataques de phishing e muito mais.
É fundamental que os administradores do ownCloud apliquem imediatamente as correções recomendadas e realizem as atualizações da biblioteca o mais rápido possível para mitigar esses riscos.
