ownCloud graphapi

Die Schwachstelle steckt in der graphapi-App von ownCloud. Diese App nutzt eine mitgelieferte Drittanbieter-Bibliothek, die eine spezielle Adresse bereitstellt. Wird diese Adresse aufgerufen, gibt sie die vollständigen Konfigurationsdetails der PHP-Umgebung aus – die sogenannte phpinfo-Ausgabe. Darin sind sämtliche Umgebungsvariablen des Webservers enthalten. Gerade in containerisierten Installationen können diese Variablen hochsensible Daten umfassen, etwa das Administratorpasswort von ownCloud, die Zugangsdaten des Mailservers sowie den Lizenzschlüssel. Ein Angreifer kann diese Informationen ohne Anmeldung schlicht durch den Abruf der Adresse auslesen. Problematisch ist zudem, dass das bloße Deaktivieren der graphapi-App die Lücke nicht beseitigt. Auch außerhalb von Container-Umgebungen bleibt das Risiko bestehen, da phpinfo weitere verwertbare Konfigurationsdetails über das System preisgibt, die einem Angreifer zur Vorbereitung weiterer Angriffe dienen können.