Debian DSA-3244-1：owncloud - 安全更新

medium Nessus 插件 ID 83193

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 ownCloud 中发现多种漏洞，ownCloud 是用于文件、音乐、联系人、日历等的云存储 Web 服务。

- CVE-2015-3011 Hugh Davenport 发现 ownCloud 随附的“contacts”应用程序容易受到多种存储的跨站脚本攻击。此漏洞在任何浏览器中都可被有效利用。

- CVE-2015-3012 Roy Jansen 发现 ownCloud 随附的“documents”应用程序容易受到多种存储的跨站脚本攻击。此漏洞在支持当前 CSP 标准的浏览器中不可被利用。

- CVE-2015-3013 Lukas Reschke 发现了一个黑名单绕过漏洞，经过认证的远程攻击者可利用此漏洞绕过黑名单并上传文件，如 .htaccess 文件。如果 /data/ 目录存储在 Web 根目录内部，并且使用了用于解释 .htaccess 文件的 Web 服务器，则可通过上传 .htaccess 利用此绕过和执行任意 PHP 代码。在默认 Debian 安装中，data 目录位于 Web 根目录外部，所以默认情况下不能利用此漏洞。