Une nouvelle vulnérabilité découverte dans ownCloud

Nous sommes fiers et heureux de vous annoncer la nouvelle : nos experts en sécurité Max van der Linden et Justin Aarden ont récemment découvert une nouvelle CVE dans le cadre de leur travail(CVE-2021-29659).

1200px Own Cloud logo and wordmark svg

Lors d'une évaluation, Max et Justin ont trouvé une vulnérabilité d'énumération d'utilisateurs dans la fonctionnalité de partage. Cette vulnérabilité permet à un attaquant d'obtenir une liste de tous les utilisateurs enregistrés sur la même instance ownCloud via la liste déroulante auto-complète. Lorsque vous utilisez l'interface web, au moins 3 caractères du nom ou de l'email du destinataire du partage ("Sharee") doivent correspondre à un compte existant pour déclencher l'auto-complétion.

Cependant, en raison d'un bogue dans le point API sous-jacent, un attaquant peut énumérer tous les utilisateurs en une seule demande en saisissant trois espaces ou un Astérix(*). La récupération secondaire de tous les utilisateurs sur une grande instance pourrait entraîner une charge supérieure à la moyenne sur l'instance, ce qui pourrait se traduire par un déni de service.

Si vous êtes intéressé par les détails techniques de cette vulnérabilité et la manière dont elle a été découverte, lisez la suite.