CVE-2023-49103

Az ownCloud owncloud/graphapi 0.2.x 0.2.1 és 0.3.x 0.3.1 előtti verziójának hibája. A graphapi alkalmazás egy harmadik féltől származó GetPhpInfo.php könyvtárra támaszkodik, amely egy URL-t biztosít. Ha ezt az URL-t elérjük, akkor a PHP-környezet konfigurációs adatait (phpinfo) tárja fel. Ez az információ tartalmazza a webszerver összes környezeti változóját. A konténeres telepítésekben ezek a környezeti változók olyan érzékeny adatokat tartalmazhatnak, mint az ownCloud admin jelszava, a levelezőszerver hitelesítő adatai és a licenckulcs. A graphapi alkalmazás egyszerű letiltása nem szünteti meg a sebezhetőséget. Emellett a phpinfo számos más, potenciálisan érzékeny konfigurációs adatot is feltár, amelyeket egy támadó kihasználva információkat gyűjthet a rendszerről. Ezért még akkor is aggodalomra ad okot ez a sebezhetőség, ha az ownCloud nem konténeres környezetben fut. Megjegyzendő, hogy a 2023 februárja előtti Docker-konténerek nem sérülékenyek a hitelesítő adatok nyilvánosságra hozatalával szemben.