開源私有云解決方案ownCloud出現高危漏洞可能會泄露所有數據 – 藍點網
我要評論ownCloud 是開源一款開源免費的私有云解決方案，個人和企業都可以使用 ownCloud 搭建自己的私有所有數據多租戶網盤而無需使用第三方商業網盤或云存儲。
上周 ownCloud 在安全中心公布了三枚高危漏洞，云解這些漏洞都可能會對 ownCloud 造成數據泄露風險，決方因此建議用戶按照官方說明應用緩解方案，現高泄露提升安全性。危漏網
第一個漏洞是藍點 Docker 版部署過程中泄露敏感憑據和配置信息，ownCloud 給這個漏洞 CVSS 滿分的開源評級，也就是私有所有數據 10/10 分。
這個漏洞來源于第三方庫 graphapi，云解當訪問相關 URL 時服務器會暴露 PHP 環境信息，決方即 phpinfo 里的現高泄露配置信息，這些信息一般是危漏網包含服務器的所有環境變量，但通過 Docker 部署時這些環境變量可能包含敏感數據。藍點
敏感數據包括 ownCloud 管理員密碼、開源郵件服務器憑據和許可證密鑰等，而且僅僅是禁用 graphapi 并不能徹底解決該漏洞
官方目前采取的方案是在容器版中禁用了 phpinfo，刪除該文件：owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php
除了刪除文件外，ownCloud 建議用戶修改管理員密碼、修改郵件服務器憑據、修改數據庫憑據 / 密碼、修改對象存儲 / AWS S3 訪問密鑰確保安全。
有關該漏洞請查看：https://owncloud.com/security-advisories/disclosure-of-sensitive-credentials-and-configuration-in-containerized-deployments/
第二個漏洞是預簽名 URL 繞過 WebDAV API 身份驗證，該漏洞評分為 9.8 分。
默認情況下并沒有配置簽名密鑰，如果攻擊者知道目標用戶名即可無需任何身份驗證進行訪問，包括訪問、修改或刪除任何文件。
這個問題影響 ownCloud core 10.6.0~10.13.0 版，建議是如果沒有為文件所有者配置簽名密鑰，那就拒絕使用預簽名 URL。
有關該漏洞請查看：https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/
第三個漏洞是子域驗證繞過問題，這個和 oauth 驗證有關，CVSS 評分為 9 分。
在 oauth2 應用程序中攻擊者可以傳入特制的重定向 URL，在進行重定向時可以繞過驗證代碼，從而允許攻擊者將回調重定向到攻擊者控制的域名中。
該問題影響 oauth2 0.6.1 以下版本，官方建議是強化 oauth2 驗證代碼，最好是直接禁用 “允許子域” 選項來封禁該漏洞的利用。
有關該漏洞請查看：https://owncloud.com/security-advisories/subdomain-validation-bypass/
相關文章
最近關于龍珠戰士Z新DLC消息公布，這款全新DLC將帶來新角色合體扎馬斯，從效果來看還是非常不錯的，到底扎馬斯在DLC中將會有什么樣的表現呢，大家拭目以待吧。萬代南夢宮日前展示了最近新公布的《龍珠戰士2025-12-08
SNK公開了《饑狼傳講 City of the Wolves》正式飽吹片，游戲將于2025年初期出售，登岸仄臺臨時沒有決。借會正在本年的 EVO Japan 2024 少停止試玩活動。視頻賞識：gsV2025-12-08
2013年和2015年之間在不同伽馬射線強度下看到的太陽圖片來源:uux.cn/阿西奧利和奧蘭多2024 &美國國家航空航天局/SDO/杜伯斯坦）神秘的地球uux.cn）據美國太空網羅伯特·李2025-12-08
游戲收止商PQube及開辟商Trickjump Games頒布收表，包露肉鴿要素的動做游戲《ArcRunner》將于4月27日上市，登岸PC、Xbox戰PS仄臺。正在那個以遠遠將去為背景的賽專朋克氣勢2025-12-08
最近真三國無雙8放出了新的介紹，這次官方帶來了聲優的介紹預告視頻，向玩家展示了游戲幕后制作者們的一些日常，到底游戲配音如何完成的呢，看看下面介紹吧。離《真三國無雙8》的發售越來越近，本次國行版《真三國2025-12-08
在這張哈勃太空望遠鏡拍攝的照片中，星系AM 1054-325受到鄰近星系的引力作用，從正常的煎餅狀螺旋形狀扭曲成了S形。其結果是新生星團沿著一條延伸數千光年的潮汐尾巴形成，就像一串珍珠。當氣體結在引力2025-12-08