CVE-2023-49103
Təsvir
ownCloud owncloud/graphapi 0.2.1-dək olan 0.2.x və 0.3.1-dək olan 0.3.x versiyalarında problem aşkar edilmişdir. graphapi tətbiqi URL təmin edən üçüncü tərəf GetPhpInfo.php kitabxanasından istifadə edir. Bu URL-ə daxil olduqda, PHP mühitinin konfiqurasiya detalları (phpinfo) üzə çıxır. Bu məlumatlara veb-serverin bütün mühit dəyişənləri daxildir. Konteynerləşdirilmiş yerləşdirmələrdə bu mühit dəyişənləri ownCloud administrator şifrəsi, poçt serveri etibarnamələri və lisenziya açarı kimi həssas məlumatları ehtiva edə bilər. Yalnız graphapi tətbiqini deaktiv etmək zəifliyi aradan qaldırmır. Əlavə olaraq, phpinfo hücumçu tərəfindən sistem haqqında məlumat toplamaq üçün istifadə edilə biləcək digər müxtəlif potensial həssas konfiqurasiya detallarını açıqlayır. Buna görə də, ownCloud konteynerləşdirilmiş mühitdə işləməsə belə, bu zəiflik narahatlıq doğuran bir səbəb olmalıdır. Qeyd edək ki, 2023-cü ilin fevral ayından əvvəlki Docker konteynerləri etibarnamələrin açıqlanması zəifliyinə qarşı həssas deyil.
Necə düzəltmək olar
İstehsalçının tövsiyə etdiyi tədbirləri tətbiq edin. Tədbir yoxdursa, məhsuldan istifadəni dayandırın.
CISA son tarixi: 21 dek 2023Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| owncloud graph_api | 0.2.0, 0.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.