CVE-2014-3834
WysokieStreszczenie
Serwer ownCloud przed wersją 6.0.3 nie sprawdza poprawnie uprawnień, co pozwala zdalnym uwierzytelnionym użytkownikom na dostęp do kontaktów innych użytkowników za pośrednictwem książki adresowej lub na zmianę nazw plików przez nieokreślone wektory.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych osobowych oraz manipulacji plikami, co stwarza poważne zagrożenie dla prywatności i integralności danych w organizacji.
Rekomendacja
Zaleca się aktualizację serwera ownCloud do wersji 6.0.3 lub nowszej, aby usunąć tę podatność oraz przeprowadzenie audytu uprawnień użytkowników.
Inne podatności w ownCloud Server
Zobacz wszystkie- CVE-2016-1499Wysokie
Serwer ownCloud w wersjach przed 8.0.10, 8.1.x przed 8.1.5 oraz 8.2.x przed 8.2.2 umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie wrażliwych informacji z listy katalogów oraz potencjalnie spowodowanie odmowy usługi (zużycie CPU) poprzez parametr force w index.php/apps/files/ajax/scan.php.
- CVE-2015-6500Wysokie
W podatności CVE-2015-6500 w serwerze ownCloud przed wersją 8.0.6 oraz 8.1.x przed wersją 8.1.1, zdalni uwierzytelnieni użytkownicy mogą uzyskać dostęp do zawartości katalogów oraz potencjalnie spowodować odmowę usługi poprzez wykorzystanie sekwencji .. (kropka kropka) w parametrze dir do index.php/apps/files/ajax/scan.php.
- CVE-2015-4718Wysokie
Zewnętrzny sterownik pamięci SMB w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 pozwala zdalnym uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń SMB za pomocą znaku ; (średnik) w pliku.
- CVE-2015-4717Wysokie
Komponent sanitizacji nazw plików w ownCloud Server przed wersją 6.0.8, 7.0.x przed 7.0.6 oraz 8.0.x przed 8.0.4 nieprawidłowo obsługuje parametry $_GET rzucone przez PHP do tablicy, co pozwala zdalnym atakującym na wywołanie odmowy usługi (nieskończona pętla i zużycie pliku dziennika) poprzez spreparowane nazwy plików punktów końcowych.
- CVE-2014-2051Wysokie
ownCloud Server w wersjach przed 5.0.15 oraz 6.0.x przed 6.0.2 jest podatny na atak LDAP injection, który może być przeprowadzony przez zdalnych napastników za pomocą nieokreślonych wektorów, co zostało zademonstrowane przy użyciu zapytania 'login'.
- CVE-2014-2056Wysokie
PHPDocX, używany w ownCloud Server przed wersją 5.0.15 oraz 6.0.x przed wersją 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, wywołanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
- CVE-2014-2053Wysokie
getID3() w wersjach przed 1.9.8, używane w ownCloud Server przed 5.0.15 oraz 6.0.x przed 6.0.2, umożliwia zdalnym atakującym odczyt dowolnych plików, spowodowanie odmowy usługi lub potencjalnie inne skutki poprzez atak XML External Entity (XXE).
Oryginalny opis (angielski, źródło NVD)
ownCloud Server before 6.0.3 does not properly check permissions, which allows remote authenticated users to (1) access the contacts of other users via the address book or (2) rename files via unspecified vectors.