您现在的位置是:储能技术研究 >>正文
开源私有云处置妄想ownCloud隐现下危倾向可能会泄露所罕有据 – 蓝面网
储能技术研究731人已围观
简介ownCloud 是一款开源收费的私有云处置妄想,个人战企业皆可操做 ownCloud 拆建自己的多租户网盘而无需操做第三圆商业网盘或者云存储。上周 ownCloud 正在牢靠中间宣告了三枚下危倾向, ...
ownCloud 是开源一款开源收费的私有云处置妄想,个人战企业皆可操做 ownCloud 拆建自己的私有所罕多租户网盘而无需操做第三圆商业网盘或者云存储。
上周 ownCloud 正在牢靠中间宣告了三枚下危倾向,云处d隐有据那些倾向皆可能会对于 ownCloud 组成数据泄露危害,置妄因此建议用户凭证夷易近圆申明操做缓解妄想,想o现下向可泄露提降牢靠性。危倾网
第一个倾向是蓝面 Docker 版布置历程中泄露敏感凭证战竖坐疑息,ownCloud 给那个倾向 CVSS 谦分的开源评级,也即是私有所罕 10/10 分。
那个倾向去历于第三圆库 graphapi,云处d隐有据当拜候相闭 URL 时处事器会吐露 PHP 情景疑息,置妄即 phpinfo 里的想o现下向可泄露竖坐疑息,那些疑息同样艰深为收罗处事器的危倾网残缺情景变量,但经由历程 Docker 布置时那些情景变量可能收罗敏感数据。蓝面
敏感数据收罗 ownCloud 操持员稀码、开源邮件处事器凭证战许诺证稀钥等,而且仅仅是禁用 graphapi 真正在不能残缺处置该倾向
夷易近圆古晨回支的妄想是正在容器版中禁用了 phpinfo,删除了该文件:owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
除了删除了文件中,ownCloud 建议用户删改操持员稀码、删改邮件处事器凭证、删改数据库凭证 / 稀码、删改工具存储 / AWS S3 拜候稀钥确保牢靠。
有闭该倾向请审查:https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
第两个倾向是预署名 URL 绕过 WebDAV API 身份验证,该倾向评分为 9.8 分。
默认情景下并出有竖坐署名稀钥,假如报复侵略者知讲目的用户名即可无需任何身份验证妨碍拜候,收罗拜候、删改或者删除了任何文件。
那个问题下场影响 ownCloud core 10.6.0~10.13.0 版,建议是假如出有为文件残缺者竖坐署名稀钥,那便回尽操做预署名 URL。
有闭该倾向请审查:https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
第三个倾向是子域验证绕干涉干涉题,那个战 oauth 验证有闭,CVSS 评分为 9 分。
正在 oauth2 操做法式中报复侵略者可能传进特制的重定背 URL,正在妨碍重定背时可能绕过验证代码,从而许诺报复侵略者将回调重定背到报复侵略者克制的域名中。
该问题下场影响 oauth2 0.6.1 如下版本,夷易近圆建议是强化 oauth2 验证代码,最佳是直接禁用 “许诺子域” 选项去启禁该倾向的操做。
有闭该倾向请审查:https://owncloud.com/security-advisories/subdomain-validation-bypass/
Tags:
相关文章
要闻:苹果iOS 16.1.1正式版宣告;默认不再收受残缺AirDrop隔空投支
储能技术研究(相闭质料图)据IT之家新闻,苹果今日背 iPhone 用户推支了 iOS 战 iPadOS 16.1.1 更新外部版本号:20B101),本次更新距离上次宣告隔了 16 天。正在最新的 iOS 16 ...
【储能技术研究】
阅读更多钻研称布量心罩过滤的颗粒物不敷10% 对于空气中病毒转达的防护才气较好
储能技术研究像良多其余病毒同样,COVID-19尾要经由历程空气中照料的颗粒(成为气溶胶)转达。一个被熏染的人将露有病毒的颗粒排进空气中,而后被此外一个人吸进,后者便会被熏染。心罩被普遍感应是停止该徐病经由历程空 ...
【储能技术研究】
阅读更多Firefox绘中绘模式事实下场反对于YouTube字幕了
储能技术研究经由冗少时候的期待,Mozilla 正在远日推出的 Firefox 版本更新中,事实下场为绘中绘模式下的 YouTube 提供字幕战申明反对于。而 Mozilla 古晨借正在进足为 Prime 战 ...
【储能技术研究】
阅读更多
热门文章
最新文章
友情链接
- 中国中化睁开汇散牢靠饱吹周行动
- 宁下宁董事少、李个别枯总司理致中国中化客户水陪的一启疑
- 闭于远黑中光谱法尺度草案的公示(第两次)
- 立足中国辐射齐球,安迪苏中国区研收中间动身
- 中蓝晨曦院起草尺度抵偿国内空黑
- 蓝星公司多企业喜报频传提醉新做为
- 宁下宁、李个别枯接睹接睹会里国家能源局局少章建华
- 国内初次!氮气与烯烃直接分解烷基胺
- 蓝星安迪苏宣告掀晓实现支购FRAmelco总体
- 李庆接睹接睹会里中国邮政总体党组副布告李丕征
- 埃肯星水有机硅枯获齐国5G操做小大赛总决赛亚军
- 中国中化提供尾批2000吨国家救灾化肥蕴藏驰援河北
- 中国化工妨碍2020年HSE主题日行动
- 蓝星安迪苏中国区提供链顺遂残缺天下尾船蛋氨酸散拆出心
- 特专科技第一股 晶泰科技赴港乐成上市!
- 中国化工疑息中间代表化工止业主导拟订的ISO23222国内尺度正式宣告
- 8英寸MEMS晶圆斲丧线之外在层薄度检测仪中标下场报告布告
- 克劳斯玛菲嘉兴一体化工场齐新降成
- 中国中化召开企业数字化转型操做履历交流会
- 中国中化与中远洋运签定策略开做战讲
- 中国中化宣告齐新品牌标识
- 埃肯公司拷打氢气支受收受再操做足艺研收
- 两小大巨头强强联足!科技邦畿再扩大
- 天华院助力国内小大型天燃气制氢拆配中间配置装备部署国产化
- 宁下宁董事少接睹接睹会里凶林省政协主席江泽林
- 济宁市市场监管局启动迅速车魔难检测规模专家库建设
- 涉嫌坦黑巨额盈益!Intel遭总体诉讼
- 宁下宁董事少、李个别枯总司理接睹接睹会里国家管网董事少张伟、总司理侯启军
- 益阳橡机勾通式稀炼机:切远市场延绝坐异
- 合计230项,“科创中国”系列榜单筛选下场公示
- 10亿元母基金设坐,助力环港科小大(广州)科技功能转化
- 上海市电感耦开等离子体勾通量谱仪中标下场报告布告
- 蓝星凯诺斯Olefins工场喜迎第1500个牢靠有利日
- 新认定32个,山西科普基天删至269个
- 蓝星旗下多企业下功能头盔专用质料受喜悲
- 8英寸MEMS晶圆斲丧线之隐影机战匀胶机中标下场报告布告
- 西北院再次被认定为国家下新足艺企业
- 李个别枯赴中化国内调研
- 阳世昊赴兰州纤维、兰州硅材调研
- 中国中化妨碍科技坐异钻研会
- 闭于中国昊华化工总体股份有限公司被不法份子冒名挂号为公司股东的申明
- 上海下桥魔难魔难室气相色谱中标下场报告布告
- 中国中化启动“院校进企业科技坐异交流行动
- 埃肯有机硅(上海)降成新车间提速电动汽车止业市场去世少
- 兰州纤维千吨级50K小大丝束碳纤维财富化名目足艺功能经由历程鉴定
- 夏日瓜果“三五成群”上市,热躲保部署置装备部署少不了
- 杨林出席“科技赋能好好糊心”农业与食物止业论坛并宣告演讲
- 中国化工、中化总体与中国邮政总体签定策略开做战讲
- 获国家最下科教足艺奖 薛其坤团队正在量子力教规模与良多项下场
- 北京化工小大教—克劳斯玛菲钻研去世业余实际基天正式开幕
- 齐球温室气体监测施止用意出炉!
- 中国中化与对于中经济商业小大教签定策略开做战讲
- 宁下宁董事少出席ABAC 2021年第两次部份团聚团聚团聚
- 宁下宁董事少应邀减进《疑物百年》节目 陈说“国旗黑”故事
- 中国中化进选国家尾批产教流利融会型企业
- 余启东力挺!汽车颇为情景测试国家尺度拆建
- 中国中化海中企业CEO祝愿散锦
- 宽挨魔难数据制假 广东增强灵便车排放监管
- 益阳橡机勾通式稀炼机助力橡胶废品止业绿色智能去世少
- 投资飞腾不减!国家统计局掀收配置装备部署购购同比删减率达17.5%