El software de código abierto ownCloud, utilizado por empresas, instituciones educativas y usuarios que prefieren mantener el control sobre sus datos, ha emitido un aviso sobre tres vulnerabilidades de seguridad de gravedad crítica. El anuncio se realizó a principios de esta semana, con la finalidad de alertar a los usuarios sobre riesgos potenciales en su infraestructura.
Vulnerabilidades identificadas
La primera vulnerabilidad, etiquetada como CVE-2023-49103, recibe una puntuación CVSS v3 máxima de 10. Esta falla permite a los atacantes acceder a credenciales e información de configuración en implementaciones contenedorizadas, afectando todas las variables del entorno del servidor web.
La vulnerabilidad se origina debido a la dependencia de una biblioteca de terceros que expone detalles del entorno PHP a través de una URL. Esto puede exponer contraseñas de administrador de ownCloud, credenciales del servidor de correo y claves de licencia.
La solución recomendada incluye la eliminación del archivo «owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php», desactivar la función «phpinfo» en contenedores Docker, así como cambiar secretos potencialmente expuestos, como contraseñas de administrador, credenciales de base de datos y claves de acceso a Object-Store/S3.
El boletín de seguridad advierte que simplemente deshabilitar la aplicación Graphapi no elimina la vulnerabilidad. Además, se menciona que phpinfo expone otros detalles de configuración potencialmente sensibles que podrían ser explotados por un atacante.
Segunda vulnerabilidad
La segunda falla afecta a las versiones 10.6.0 a 10.13.0 de la biblioteca principal de ownCloud y se describe como un problema de omisión de autenticación. Esta falla permite que los atacantes accedan, modifiquen o eliminen cualquier archivo sin autenticación si se conoce el nombre de usuario del usuario y no se ha configurado una clave de firma.
La solución publicada es negar el uso de URL prefirmadas si no se configura ninguna clave de firma para el propietario de los archivos.
Tercera vulnerabilidad
La tercera falla, con una puntuación CVSS v3 de 9, es un problema de omisión de validación de subdominio que afecta a todas las versiones de la biblioteca Oauth2 inferiores a 0.6.1. En esta aplicación, un atacante puede ingresar una URL de redireccionamiento especialmente diseñada que omite el código de validación, permitiendo la redirección de devoluciones de llamada a un dominio controlado por el atacante.
La mitigación recomendada es reforzar el código de validación en la aplicación Oauth2. Una solución temporal compartida en el boletín es desactivar la opción «Permitir subdominios».
Riesgos para la seguridad
Las tres fallas de seguridad descritas impactan significativamente la seguridad y la integridad del entorno ownCloud, lo que podría provocar la exposición de información confidencial, robo de datos sigiloso, ataques de phishing y más.
Debido a esto, es fundamental que los administradores de ownCloud apliquen inmediatamente las correcciones recomendadas y realicen las actualizaciones de la biblioteca lo antes posible para mitigar estos riesgos.