Files or Directories Without Valid Owner or Group

漏洞信息

漏洞名称： Files or Directories Without Valid Owner or Group

漏洞类型： 配置问题

漏洞等级： 中危

漏洞描述： 该漏洞涉及Linux系统中文件或目录的所有权问题，具体表现为存在没有有效所有者或组的文件或目录。这种情况通常是由于不当的用户/组删除或管理错误导致的。这些文件或目录如果没有被适当审查、删除或重新分配，可能会被利用或滥用。从技术角度来看，这属于配置问题，其根本原因在于系统管理员未能正确管理文件或目录的所有权和组权限。这种漏洞虽然不需要认证即可利用，但其利用通常需要本地访问权限。漏洞的影响包括可能导致信息泄露或权限提升，尽管其严重性被评估为中等。Linux系统作为广泛使用的操作系统，在企业级服务和个人计算中都有部署，因此这种配置问题可能会影响到广泛的环境。

产品名称： Linux系统

来源： https://github.com/projectdiscovery/nuclei-templates/blob/1dc5e4c5a7e3689548a72d7cb2a00b803fccc824/misconfiguration%2Flinux%2Ffile-or-dir-without-owner.yaml

类型： projectdiscovery/nuclei-templates:github issues

POC详情

id: file-or-dir-without-owner

info:
  name: Files or Directories Without Valid Owner or Group
  author: songyaeji
  severity: medium
  description: >
    Files or directories without a valid owner or group may result from improper user/group deletion or administrative errors.
    These files could be exploited or misused if not properly reviewed and removed or reassigned.
  reference:
    - https://isms.kisa.or.kr/main/csap/notice/
    - Cloud Vulnerability Assessment Guide (2024) by KISA
  tags: linux,local,ownership,compliance,file-permissions
  metadata:
    verified: true
    os: linux
    max-request: 1
  classification:
    cwe-id: CWE-732
    cvss-metrics: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
    cvss-score: 4.6

self-contained: true

code:
  - engine:
      - bash
    source: |
      find /etc /tmp /bin /sbin \( -nouser -o -nogroup \) -xdev -exec ls -al {} \; 2>/dev/null | head -n 1 || echo "no-unowned"
    matchers:
      - type: word
        part: code_1_response
        words:
          - " /"
        condition: contains