# CVE-2023-49103 漏洞利用

背景

ownCloud 是一个面向企业环境设计的文件共享平台。2023 年 11 月 21 日，ownCloud 披露了 CVE-2023-49103，这是一个影响 ownCloud 的无需认证的信息泄露漏洞，当存在名为 “Graph API”（graphapi）的易受攻击扩展时会被触发。如果 ownCloud 通过 Docker 部署，则自 2023 年 2 月起，默认会包含这一易受攻击的 graphapi 组件。如果 ownCloud 为手动安装，则默认不包含 graphapi 组件。

通过 Shodan 搜索 ownCloud 发现，互联网上至少有 12,320 个实例（截至 2023 年 12 月 1 日）。目前尚不清楚其中有多少实例存在漏洞。

文件传输与共享平台过去曾多次遭受勒索软件组织的攻击，而 ownCloud 同样属于文件共享平台，因此这一目标尤其令人担忧。2023 年 11 月 30 日，CISA 将 CVE-2023-49103 列入其已知被利用漏洞（KEV）清单，表明威胁行为者已开始在真实环境中利用该漏洞。截至撰写本文时，Rapid7 Labs 已观察到至少三个客户环境遭到漏洞利用尝试。

漏洞详情

当攻击者访问 URI 端点 /apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php 时，该漏洞允许无需认证的攻击者通过 PHP 函数 phpinfo 的输出泄露敏感信息。该输出将包含环境变量，其中可能含有提供给 ownCloud 系统的机密信息，例如用户名或密码。具体来说，当 ownCloud 通过 Docker 部署时，通常的做法是通过环境变量传递机密信息。

最初有人认为，通过 Docker 安装的 ownCloud 无法被利用。然而，Rapid7 研究人员确认，可以通过修改请求的 URI 来绕过现有 Apache Web 服务器的重写规则，从而成功访问目标 URI 端点，进而利用存在漏洞的基于 Docker 的 ownCloud 安装。