d0rb/cve-2023-49103Exploit proof-of-concept per CVE-2023-49103, una vulnerabilità di divulgazione di informazioni non autenticata nell'API Graph di ownCloud, che perde variabili d'ambiente tramite output phpinfo.
Chiediamo il ritorno sicuro di tutti i cittadini che sono stati presi in ostaggio dal gruppo terroristico Hamas. Non ci fermeremo finché ogni ostaggio non sarà rilasciato e non tornerà a casa sano e salvo. Puoi aiutarci a riportarli a casa. https://stories.bringthemhomenow.net/
ownCloud è una piattaforma di condivisione file progettata per ambienti aziendali. Il 21 novembre 2023, ownCloud ha divulgato CVE-2023-49103, una vulnerabilità di divulgazione di informazioni non autenticata che colpisce ownCloud, quando è presente un'estensione vulnerabile chiamata "Graph API" (graphapi). Se ownCloud è stato distribuito tramite Docker, da febbraio 2023 in poi, questo componente graphapi vulnerabile è presente per impostazione predefinita. Se ownCloud è stato installato manualmente, il componente graphapi non è presente per impostazione predefinita.
La ricerca di ownCloud tramite Shodan indica che ci sono almeno 12.320 istanze su internet (al 1° dicembre 2023). Non è noto quante di queste siano attualmente vulnerabili.
Le piattaforme di trasferimento e condivisione file sono state oggetto di attacchi da parte di gruppi ransomware in passato, rendendo questo un bersaglio di particolare preoccupazione, poiché anche ownCloud è una piattaforma di condivisione file. Il 30 novembre 2023, CISA ha aggiunto CVE-2023-49103 al suo elenco di vulnerabilità sfruttabili note (KEV), indicando che gli attori delle minacce hanno iniziato a sfruttare questa vulnerabilità in natura. Rapid7 Labs ha osservato tentativi di exploit contro almeno tre ambienti clienti al momento della stesura di questo blog.
La vulnerabilità consente a un utente malintenzionato non autenticato di divulgare informazioni sensibili tramite l'output della funzione PHP phpinfo, quando si prende di mira l'endpoint URI /apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php. Questo output includerà variabili d'ambiente che possono contenere segreti, come nomi utente o password forniti al sistema ownCloud. In particolare, quando ownCloud viene distribuito tramite Docker, è pratica comune passare segreti tramite variabili d'ambiente.
Inizialmente si pensava che le installazioni Docker di ownCloud non fossero sfruttabili. Tuttavia, i ricercatori di Rapid7 hanno confermato che è possibile sfruttare installazioni Docker vulnerabili di ownCloud modificando l'URI richiesto per bypassare le regole di riscrittura esistenti del server web Apache, consentendo di raggiungere con successo l'endpoint URI target.
