21.11.2023

BDU:2023-08351 (CVE-2023-49104) — уязвимость конфигурации «Allow Subdomains» платформы авторизации OAuth2

По данным БДУ ФСТЭК России, по состоянию на 04.12.2023.

Высокий — 8.7/10 Устранена

Уязвимость конфигурации «Allow Subdomains» платформы авторизации OAuth2 связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и перенаправить пользователя на произвольный URL-адрес

Кого касается и что делать

Уязвимое ПО: OAuth2 (ownCloud) — версии до 0.6.1
Что делать: уязвимость устранена производителем — применить исправления: owncloud.com

Сведения об уязвимости

Идентификаторы	BDU:2023-08351 · CVE-2023-49104
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.7; CVSS 2.0 — 7.1)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N атака по сети, высокая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность
Наименование ФСТЭК	Уязвимость конфигурации «Allow Subdomains» платформы авторизации OAuth2, позволяющая нарушителю обойти ограничения безопасности и перенаправить пользователя на произвольный URL-адрес
Даты	Опубликована: 04.12.2023 · Обновлена ФСТЭК: 04.12.2023 · Выявлена: 21.11.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-284 — неправильный контроль доступа; CWE-601 — переадресация URL на ненадежный сайт («Открытая переадресация»)
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение авторизации, подмена при взаимодействии