CVE-2023-49103
CVE-2023-49103
En resumen
La aplicación graphapi de ownCloud contiene una biblioteca que expone detalles de configuración de PHP y variables de entorno a través de una URL accesible públicamente, revelando potencialmente información sensible como contraseñas de administrador y credenciales. Esta es una vulnerabilidad crítica de divulgación de información que afecta especialmente a despliegues en contenedores.
Detalle técnico
El CVE-2023-49103 explota un endpoint GetPhpInfo.php expuesto en owncloud/graphapi 0.2.x (anterior a 0.2.1) y 0.3.x (anterior a 0.3.1) que muestra la salida phpinfo(), revelando variables de entorno y configuraciones del servidor. En entornos containerizados, esto expone credenciales sensibles como contraseñas de administrador de ownCloud, credenciales de servidor de correo y claves de licencia. Deshabilitar la aplicación vulnerable no elimina la exposición; la remediación requiere actualizar a versiones parcheadas o eliminar la biblioteca GetPhpInfo.php.
Resumen generado y traducido por IA a partir de la descripción oficial.
An issue was discovered in ownCloud owncloud/graphapi 0.2.x before 0.2.1 and 0.3.x before 0.3.1. The graphapi app relies on a third-party GetPhpInfo.php library that provides a URL. When this URL is accessed, it reveals the configuration details of the PHP environment (phpinfo). This information includes all the environment variables of the webserver. In containerized deployments, these environment variables may include sensitive data such as the ownCloud admin password, mail server credentials, and license key. Simply disabling the graphapi app does not eliminate the vulnerability. Additionally, phpinfo exposes various other potentially sensitive configuration details that could be exploited by an attacker to gather information about the system. Therefore, even if ownCloud is not running in a containerized environment, this vulnerability should still be a cause for concern. Note that Docker containers from before February 2023 are not vulnerable to the credential disclosure.
CVSS:3.1/AC:L/AV:N/A:H/C:H/I:H/PR:N/S:C/UI:N
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.