ownCloud ownCloud graphapi の情報漏えいの脆弱性（CVE-2023-49103）

何が起きた

ownCloud の graphapi というアプリが使う外部の部品に、GetPhpInfo.php というファイルがあり、その URL を開くと PHP の設定情報（phpinfo）が見えてしまう弱点が見つかりました。この情報には Web サーバーの環境変数がすべて含まれ、コンテナで動かしている場合は ownCloud の管理者のパスワードやメールサーバーの認証情報、ライセンスキーが含まれることがあります。攻撃はネットワーク経由で、ログインも利用者の操作も不要です。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ownCloud の graphapi 0.2.x のうち 0.2.1 より前と、0.3.x のうち 0.3.1 より前を使っている人や組織です。ownCloud の勧告では、影響を受けるのは graphapi 0.2.0 から 0.3.0 とされています。なお、2023年2月より前の Docker コンテナは、認証情報がもれる問題の影響を受けないとされています。

何をすればいい

graphapi を 0.2.1 以降または 0.3.1 以降に更新されているか確認してください。graphapi アプリを無効にするだけでは、この弱点はなくなりません。ownCloud は、owncloud/apps/graphapi/vendor/microsoft/microsoft-graph/tests/GetPhpInfo.php のファイルを削除し、管理者のパスワード、メールサーバーの認証情報、データベースの認証情報、Object-Store/S3 のアクセスキーを変更するよう勧めています。公式の案内を確認してください。

やることチェックリスト

• graphapiを0.2.1以降か0.3.1以降に更新する
• GetPhpInfo.phpのファイルを削除する
• 管理者やデータベースのパスワードを変更する

用語メモ

phpinfo

PHP というプログラムの設定や環境の情報をまとめて表示する機能です。外から見えると、内部の情報がもれます。

環境変数

プログラムに設定値を渡すための変数です。パスワードなどの大事な値が入っていることがあります。

コンテナ

アプリを動かす環境をひとまとめにして、ほかと分けて動かすしくみです。Docker が代表的です。