d0rb/cve-2023-49103Ceci est une simple preuve de concept pour CVE-2023-49103.
Nous exigeons le retour en toute sécurité de tous les citoyens pris en otage par le groupe terroriste Hamas. Nous ne nous reposerons pas tant que chaque otage n'aura pas été libéré et ne sera pas rentré chez lui en toute sécurité. Vous pouvez aider à les ramener. https://stories.bringthemhomenow.net/
ownCloud est une plateforme de partage de fichiers conçue pour les environnements d'entreprise. Le 21 novembre 2023, ownCloud a divulgué CVE-2023-49103, une vulnérabilité de divulgation d'informations non authentifiée affectant ownCloud, lorsqu'une extension vulnérable appelée « Graph API » (graphapi) est présente. Si ownCloud a été déployé via Docker, à partir de février 2023, ce composant graphapi vulnérable est présent par défaut. Si ownCloud a été installé manuellement, le composant graphapi n'est pas présent par défaut.
Une recherche ownCloud via Shodan indique qu'il y a au moins 12 320 instances sur Internet (au 1er décembre 2023). On ignore combien d'entre elles sont actuellement vulnérables.
Les plateformes de transfert et de partage de fichiers ont déjà été la cible de groupes ransomware, ce qui en fait une cible particulièrement préoccupante, d'autant que ownCloud est également une plateforme de partage de fichiers. Le 30 novembre 2023, la CISA a ajouté CVE-2023-49103 à sa liste de vulnérabilités connues exploitées (KEV), indiquant que des acteurs menaçants ont commencé à exploiter cette vulnérabilité dans la nature. Rapid7 Labs a observé des tentatives d'exploitation contre au moins trois environnements clients au moment de la rédaction de ce blog.
La vulnérabilité permet à un attaquant non authentifié de divulguer des informations sensibles via la sortie de la fonction PHP phpinfo, en ciblant le point de terminaison URI /apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php. Cette sortie inclura des variables d'environnement qui peuvent contenir des secrets, tels que des noms d'utilisateur ou des mots de passe fournis au système ownCloud. Plus précisément, lorsque ownCloud est déployé via Docker, il est courant de transmettre les secrets via des variables d'environnement.
On pensait initialement que les installations Docker d'ownCloud n'étaient pas exploitables. Cependant, les chercheurs de Rapid7 ont confirmé qu'il est possible d'exploiter les installations Docker vulnérables d'ownCloud en modifiant l'URI demandée pour contourner les règles de réécriture du serveur web Apache existant, permettant ainsi d'atteindre avec succès le point de terminaison URI cible.
