Debian DSA-3244-1：owncloud - 安全性更新

medium Nessus Plugin ID 83193

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在 ownCloud 中發現多個弱點；ownCloud 是適用於檔案、音樂、連絡人、行事曆等項目的雲端儲存 Web 服務。

- CVE-2015-3011 Hugh Davenport 發現，ownCloud 隨附的「連絡人」應用程式容易受到多個已存跨網站指令碼攻擊。此弱點在任何瀏覽器中都很容易遭到惡意利用。

- CVE-2015-3012 Roy Jansen 發現，ownCloud 隨附的「文件」應用程式容易受到多個已存跨網站指令碼攻擊。此弱點在支援目前 CSP 標準的瀏覽器中不會遭到惡意利用。

- CVE-2015-3013 Lukas Reschke 發現一個黑名單繞過弱點，其允許經驗證的遠端攻擊者繞過檔案黑名單並上傳諸如 .htaccess 檔案等檔案。如果 /data/ 目錄儲存在 web root 內且使用會解譯 .htaccess 檔案的 web 伺服器，攻擊者可透過上傳 .htaccess 利用此繞過弱點並執行任意 PHP 程式碼。在預設 Debian 安裝上，data 目錄位於 web root 外，因此，預設不會惡意利用此弱點。