29. nóvember 2023

Alvarlegir veikleikar í ownCloud og Google Chrome

Tilkynnt var um alvarlega veikleika í ownCloud og Google Chrome þar sem vitað er til þess að verið sé að misnota veikleikana. CERT-IS mælir með að uppfært sé eins fljótt og auðið er í útgáfu þar sem veikleikarnir hafa verið lagfærður eða að gripið sé til viðeigandi mótvægisaðgerða.

ownCloud

Tilkynnt var um þrjá alvarlega veikleika í hugbúnaði fyrir deilingu skráa (e. file sharing) frá ownCloud. Vitað er til þess að verið sé að misnota veikleikana og því mikilvægt að grípa til mótvægisaðgerða sem fyrst [1,2].

CVE-2023-49103

Veikleikinn CVE-2023-49103 með CVSSv3 skor upp á 10 er galli í forritunarsafni (e. third-party library) sem owncloud/graphapi notar og er hægt að misnota til þess að komast yfir viðkvæmar upplýsingar sem eru geymdar í PHP umhverfisbreytum (phpinfo), til dæmis aðgangsupplýsingar [2,3,4].

CVE-2023-49104

Veikleikinn CVE-2023-49104 með CVSSv3 skor upp á 9 felst í galla á owncloud/oauth2 þar sem valmöguleiki fyrir undirlén (Allow Subdomains) er virkur. Ógnaraðili getur misnotað veikleikann með því að koma fyrir tilbúinni slóð með áframsendingu (e. crafted redirect-url) og farið framhjá sannprófun (e. validation) til að beina umferðinni að öðru höfuðléni (e. TLD) [1,5,6].

CVE-2023-49105

Veikleikinn CVE-2023-49105 með CVSSv3 skor upp á 9.8 er galli í owncloud/core sem getur gefið óauðkenndum ógnaraðila aðgang að skrám fórnarlambs, auk þess að geta breytt og eytt skránum [1,7,8].

Eftirfarandi kerfi eru veik fyrir göllunum:

graphapi: 0.2.0-0.2.0
oauth2: <0.6.1
core: 10.6.0-10.13.0

Tilvísanir

[1] https://www.helpnetsecurity.com/2023/11/28/cve-2023-49103/
[2] https://www.bleepingcomputer.com/news/security/critical-bug-in-owncloud-file-sharing-app-exposes-admin-passwords/
[3] https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
[4] https://nvd.nist.gov/vuln/detail/CVE-2023-49103
[5] https://owncloud.com/security-advisories/subdomain-validation-bypass/
[6] https://nvd.nist.gov/vuln/detail/CVE-2023-49104
[7] https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
[8] https://nvd.nist.gov/vuln/detail/CVE-2023-49105

Google Chrome

CVE-2023-6345

Google hefur gefið út neyðaröryggisuppfærslu vegna núlldags veikleika (CVE-2023-6345) í Chrome vafranum. Veikleikinn hefur ekki fengið CVSSv3 einkunn en vitað er til þess að verið sé að misnota hann. Google hefur jafnframt gefið út að engar ítarupplýsingar um veikleikann verði birtar fyrr en að meirihluti notenda hefur uppfært Chrome vafrann í örugga útgáfu [1,2].