A partire da un’attività di Penetration Testing effettuata su alcuni asset aziendali, è stata rilevata un’anomalia di sicurezza nel sistema di gestione delle versioni precedenti dei file ospitati sulla piattaforma. Nello specifico, il team è riuscito ad effettuare il ripristino di versioni precedenti di un file pur non avendo alcun diritto di scrittura sul file originale.
L’exploitation della vulnerabilità rilevata avviene intercettando e modificando la risposta ricevuta a seguito di una richiesta PROPFIND inviata dal browser di ogni utente quando questo tenta di accedere a un file. La risposta in questione contiene un tag <oc:permissions> che elenca i permessi assegnati all’utente corrente. Intercettando la risposta e modificando i valori inclusi nel tag in questione, viene sbloccata la funzionalità di “Ripristino” delle versioni precedenti per il file richiesto; da questo punto in poi l’utente, pur disponendo soltanto di permessi di lettura sul file, è in grado di richiedere il ripristino dello stesso a una versione precedente. Dai test eseguiti, il team è riuscito a ripristinare un file fino a risalire alla sua prima versione, causando la sovrascrittura del file finale. Il file in questione ne è risultato completamente alterato e di conseguenza irrecuperabile.
L’anomalia è stata segnalata al gruppo di sviluppo di Nextcloud, che ha riconosciuto l’anomalia e si è attivato nell’attuare una soluzione tecnica. Il 29 Febbraio 2024 è stata rilasciata ufficialmente la patch del prodotto che risolve le suddette problematiche.
Il Team di Sync Security ha dunque trattato responsabilmente la divulgazione dell’anomalia, richiedendo la pubblicazione delle CVE soltanto in seguito al rilascio della patch da parte del vendor. La vulnerabilità è riconosciuta come CVE-2024-37315.
Fonti:
Torna alla lista
articoli