d0rb/cve-2023-49103Dies ist ein einfacher Proof of Concept für CVE-2023-49103.
Wir fordern die sichere Rückkehr aller Bürger, die von der terroristischen Gruppe Hamas als Geiseln genommen wurden. Wir werden nicht ruhen, bis jede Geisel freigelassen und sicher nach Hause zurückgekehrt ist. Sie können helfen, sie nach Hause zu bringen. https://stories.bringthemhomenow.net/
ownCloud ist eine Dateifreigabeplattform, die für Unternehmensumgebungen konzipiert ist. Am 21. November 2023 veröffentlichte ownCloud CVE-2023-49103, eine nicht authentifizierte Schwachstelle zur Offenlegung von Informationen, die ownCloud betrifft, wenn eine anfällige Erweiterung namens „Graph API“ (graphapi) vorhanden ist. Wenn ownCloud über Docker bereitgestellt wurde, ist diese anfällige graphapi-Komponente ab Februar 2023 standardmäßig vorhanden. Wenn ownCloud manuell installiert wurde, ist die graphapi-Komponente standardmäßig nicht vorhanden.
Eine Suche nach ownCloud über Shodan zeigt, dass es (Stand 1. Dezember 2023) mindestens 12.320 Instanzen im Internet gibt. Es ist unbekannt, wie viele davon derzeit anfällig sind.
Dateitransfer- und Freigabeplattformen wurden in der Vergangenheit von Ransomware-Gruppen angegriffen, was dies zu einem besonders besorgniserregenden Ziel macht, da ownCloud ebenfalls eine Dateifreigabeplattform ist. Am 30. November 2023 fügte CISA CVE-2023-49103 seiner Liste bekannter ausnutzbarer Schwachstellen (KEV) hinzu, was darauf hindeutet, dass Bedrohungsakteure begonnen haben, diese Schwachstelle in freier Wildbahn auszunutzen. Rapid7 Labs hat zum Zeitpunkt der Erstellung dieses Blogs Ausnutzungsversuche gegen mindestens drei Kundenumgebungen beobachtet.
Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer, vertrauliche Informationen über die Ausgabe der PHP-Funktion phpinfo preiszugeben, wenn der URI-Endpunkt /apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php angegriffen wird. Diese Ausgabe enthält Umgebungsvariablen, die Geheimnisse enthalten können, wie z. B. Benutzernamen oder Passwörter, die dem ownCloud-System bereitgestellt werden. Insbesondere wenn ownCloud über Docker bereitgestellt wird, ist es üblich, Geheimnisse über Umgebungsvariablen zu übergeben.
Zunächst wurde angenommen, dass Docker-Installationen von ownCloud nicht ausnutzbar seien. Forscher von Rapid7 bestätigten jedoch, dass es möglich ist, anfällige Docker-basierte Installationen von ownCloud auszunutzen, indem der angeforderte URI geändert wird, um die vorhandenen Rewrite-Regeln des Apache-Webservers zu umgehen, sodass der Ziel-URI-Endpunkt erfolgreich erreicht werden kann.
