CVE-2014-2051
WysokieStreszczenie
ownCloud Server w wersjach przed 5.0.15 oraz 6.0.x przed 6.0.2 jest podatny na atak LDAP injection, który może być przeprowadzony przez zdalnych napastników za pomocą nieokreślonych wektorów, co zostało zademonstrowane przy użyciu zapytania 'login'.
Ocena ryzyka
Atak LDAP injection może umożliwić zdalnym napastnikom manipulację danymi uwierzytelniającymi, co prowadzi do nieautoryzowanego dostępu do systemu.
Rekomendacja
Zaleca się aktualizację ownCloud Server do wersji 5.0.15 lub 6.0.2 i nowszych, aby zlikwidować tę podatność.
Inne podatności w ownCloud Server
Zobacz wszystkie- CVE-2016-1499Wysokie
Serwer ownCloud w wersjach przed 8.0.10, 8.1.x przed 8.1.5 oraz 8.2.x przed 8.2.2 umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji z listy katalogów oraz potencjalnie spowodowanie odmowy usługi (zużycie CPU) poprzez parametr force w index.php/apps/files/ajax/scan.php.
- CVE-2015-6500Wysokie
W podatności CVE-2015-6500 w serwerze ownCloud przed wersją 8.0.6 oraz 8.1.x przed wersją 8.1.1, zdalni uwierzytelnieni użytkownicy mogą uzyskać dostęp do zawartości katalogów oraz potencjalnie spowodować odmowę usługi poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze dir do index.php/apps/files/ajax/scan.php.
- CVE-2015-4718Wysokie
Zewnętrzny sterownik pamięci SMB w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SMB za pomocą znaku ; (średnik) w pliku.
- CVE-2015-4717Wysokie
Komponent sanitizacji nazw plików w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 nieprawidłowo obsługuje parametry $_GET rzucone przez PHP do tablicy, co pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla i zużycie pliku dziennika) poprzez spreparowane nazwy plików punktów końcowych.
- CVE-2014-3834Wysokie
Serwer ownCloud przed wersją 6.0.3 nie sprawdza poprawnie uprawnień, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do kontaktów innych użytkowników za pośrednictwem książki adresowej lub na zmianę nazw plików przez nieokreślone wektory.
- CVE-2014-2056Wysokie
PHPDocX, używany w ownCloud Server przed wersją 5.0.15 oraz 6.0.x przed wersją 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, wywołanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
- CVE-2014-2053Wysokie
getID3() w wersjach przed 1.9.8, używane w ownCloud Server przed 5.0.15 oraz 6.0.x przed 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, spowodowanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
Oryginalny opis (angielski, źródło NVD)
ownCloud Server before 5.0.15 and 6.0.x before 6.0.2 allows remote attackers to conduct an LDAP injection attack via unspecified vectors, as demonstrated using a "login query."