A ownCloud egy kliens-szerver szoftver, amely számos jogosultságot ad az adminisztrátoroknak, például parancsok végrehajtására a tervezett felhasználóként, lényegében egy másik felhasználót megszemélyesítve a kívánt feladatok végrehajtására. Biztonsági okokból a csoport rendszergazdái csak a csoporttagok többi felhasználójának égisze alatt tehetnek meg dolgokat. Annak ellenére, hogy ezt az intézkedést életbe léptették, a felhasználók általi megszemélyesítés engedélyezésének kihasználása megkerüli a támadást.
A sebezhetőséget Thierry Viaccoz fedezte fel először 15-énthmárcius. Az első szállítói értesítést 16-án küldték elthmárciusában, és az eladó ugyanazon a napon nyugtázó üzenettel válaszolt. Alig több mint egy hónappal később a 17.0-án megjelent a 0,2.0-s szoftver javított verziójathmárciusában, és az ügy nyilvánosságra hozatalának dátumát 29-re tűzték kithalig néhány nappal ezelőtt volt.
Ez a biztonsági rés kihat a ownCloud 0.1.2 verziójára. A 0.2.0 verzió változatlan. A ownClouc más verzióit még nem tesztelték, de feltételezhető, hogy a régebbi verziók sérülékenyek lehetnek ugyanazzal a hibával szemben, mint a 0.1.2 változatban.
Ehhez a magas kockázatú biztonsági réshez egyelőre nem rendeltek hozzá CVE azonosító címkét. Esetét ennek ellenére a CSNS CSNC-2018-015 címke alatt követik. A biztonsági rés távolról is kihasználható, és kihat a ownCloud Impersonate-re.
A támadás újbóli létrehozásához először két csoportot kell létrehoznia (g1 és g2). Ezután négy felhasználót kell létrehoznia a következő csoportok használatával: test1, 1. csoport, group admin = 1. csoport; 2. teszt, 1. csoport, csoport admin = nincs csoport; 3. teszt, 2. csoport, csoport admin = 2. csoport; 4. teszt, 2. csoport, csoport admin = nincs csoport.
A probléma legjelentősebb mérséklése, megoldása és / vagy megoldása egy tanácsadás a felhasználók számára, hogy folyamatosan ellenőrizzék mások engedélyét annak érdekében, hogy megakadályozzák a csoport rendszergazdáit abban, hogy mások vagy csoportok megszemélyesítésével éljenek.
