- Aktif istismar
- CWE-200
CVE-2023-49103
ownCloud graphapi eklentisinde phpinfo üzerinden bilgi ifşası
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1072 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu açık, kimlik doğrulaması olmadan şirket dosya paylaşım sisteminin yönetici parolası ve e-posta hesabı bilgileri gibi gizli verilerin ele geçirilmesine yol açabilir. Açığın aktif olarak istismar edildiği bilinmektedir, bu nedenle acil müdahale gerekir. Etkilenen sistemler hızlıca güncellenmeli ve olası sızan parolalar değiştirilmelidir.
ÖzetTürkçe
ownCloud graphapi eklentisinin 0.2.1 öncesi 0.2.x ve 0.3.1 öncesi 0.3.x sürümleri, üçüncü taraf GetPhpInfo.php kütüphanesi nedeniyle erişilebilen bir URL üzerinden PHP ortamının yapılandırma bilgilerini (phpinfo) açığa çıkarıyor. Bu çıktı, web sunucusunun tüm ortam değişkenlerini içerir. Konteyner tabanlı kurulumlarda bu değişkenler ownCloud yönetici parolası, e-posta sunucusu kimlik bilgileri ve lisans anahtarı gibi hassas verileri barındırabilir. Yalnızca graphapi uygulamasını devre dışı bırakmak açığı gidermez. Şubat 2023 öncesi Docker konteynerleri kimlik bilgisi ifşasından etkilenmez.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırıcı, ağ üzerinden yönetici parolası, posta sunucusu kimlik bilgileri ve lisans anahtarı gibi bilgileri ele geçirebilir. Konteyner kullanılmasa bile sistem hakkındaki yapılandırma bilgileri sonraki saldırılar için kullanılabilir.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in ownCloud owncloud/graphapi 0.2.x before 0.2.1 and 0.3.x before 0.3.1. The graphapi app relies on a third-party GetPhpInfo.php library that provides a URL. When this URL is accessed, it reveals the configuration details of the PHP environment (phpinfo). This information includes all the environment variables of the webserver. In containerized deployments, these environment variables may include sensitive data such as the ownCloud admin password, mail server credentials, and license key. Simply disabling the graphapi app does not eliminate the vulnerability. Additionally, phpinfo exposes various other potentially sensitive configuration details that could be exploited by an attacker to gather information about the system. Therefore, even if ownCloud is not running in a containerized environment, this vulnerability should still be a cause for concern. Note that Docker containers from before February 2023 are not vulnerable to the credential disclosure.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- ownCloud graphapi eklentisini düzeltilmiş sürüme yükseltin: 0.2.x serisi için 0.2.1, 0.3.x serisi için 0.3.1 veya daha yenisi. Eklentiyi yalnızca devre dışı bırakmak yeterli değildir. Genel öneri
- CISA gerekliliği doğrultusunda satıcının önerdiği azaltma önlemlerini uygulayın; azaltma önlemleri uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
- Sistemin açık olduğu dönemde ifşa olmuş olabileceği için ownCloud yönetici parolasını, posta sunucusu kimlik bilgilerini ve lisans anahtarını değiştirin. Genel öneri
- Güncelleme yapılana kadar ownCloud sunucusuna internetten erişimi kısıtlayın veya web sunucusu düzeyinde ilgili phpinfo URL'sine erişimi engelleyin. Genel öneri
Ek önlemler
- Web sunucusu erişim kayıtlarında graphapi eklentisine ait phpinfo sayfasına yapılmış şüpheli istekleri inceleyin ve olası ihlal belirtilerini araştırın. Genel öneri
- Gizli bilgileri (parola, API anahtarı) ortam değişkenlerinde tutmaktan kaçının; mümkünse gizli bilgi yönetim araçları kullanın. Genel öneri
- Üretim ortamlarında gereksiz eklentileri kaldırın ve phpinfo benzeri tanılama sayfalarına erişimi kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ownCloud graphapi | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.