Vulnerabilidade de falsificação de identidade de usuário encontrada no ownCloud v0.1.2

ownCloud é um software cliente-servidor que concede aos administradores vários privilégios, como executar comandos agindo como o usuário pretendido, essencialmente se fazendo passar por outro usuário para realizar as tarefas desejadas. Por razões de segurança, os administradores de grupo só podem fazer coisas sob a proteção de outros usuários membros do grupo. Apesar desta medida ser implementada, a exploração de um ataque de desvio de autorização de personificação de usuário crucial.

A vulnerabilidade foi descoberta pela primeira vez por Thierry Viaccoz no dia 15^ºde março. A primeira notificação do fornecedor foi enviada no dia 16^ºde março e o vendedor respondeu com uma mensagem de reconhecimento no mesmo dia. Pouco mais de um mês depois, a versão corrigida da versão 0.2.0 do software foi lançada no dia 17^ºde março e a data de divulgação pública do assunto foi fixada para 29^ºde agosto, que foi há poucos dias.

Esta vulnerabilidade afeta a versão 0.1.2 do ownCloud. A versão 0.2.0 não foi afetada. Outras versões do ownClouc ainda não foram testadas, mas suspeita-se que as versões mais antigas podem ser vulneráveis ​​ao mesmo defeito da versão 0.1.2.

Esta vulnerabilidade de alto risco ainda não recebeu um rótulo de identificação CVE. Seu caso está sendo seguido, no entanto, sob o rótulo CSNS ID CSNC-2018-015. A vulnerabilidade pode ser explorada remotamente e afeta a representação do ownCloud.

Para recriar este ataque, você deve primeiro criar dois grupos (g1 e g2). Em seguida, você deve criar quatro usuários usando estes grupos: teste1, grupo 1, grupo admin = grupo 1; teste 2, grupo 1, grupo admin = nenhum grupo; teste 3, grupo 2, grupo admin = grupo 2; teste 4, grupo 2, grupo admin = nenhum grupo.

A mitigação, solução alternativa e / ou correção mais significativa lançada para este problema é um aviso aos usuários para verificar a autorização de outras pessoas constantemente, a fim de impedir que os administradores de grupo se façam passar por outras pessoas ou grupos.