Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-02262

Опубликовано: 30 мар. 2023
Источник: fstec
CVSS3: 8.8
CVSS2: 9
EPSS Средний

Описание

Уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе

Вендор

ООО «Ред Софт»
Nextcloud GmbH

Наименование ПО

РЕД ОС
Nextcloud Enterprise Server
Nextcloud Server

Версия ПО

7.3 (РЕД ОС)
от 18.0.0 до 20.0.14.12 (Nextcloud Enterprise Server)
от 21.0.0 до 21.09.10 (Nextcloud Enterprise Server)
от 22.0.0 до 22.2.10.10 (Nextcloud Enterprise Server)
от 23.0.0 до 23.0.12.5 (Nextcloud Enterprise Server)
от 24.0.0 до 24.0.10 (Nextcloud Enterprise Server)
от 25.0.0 до 25.0.4 (Nextcloud Enterprise Server)
от 24.0.0 до 24.0.10 (Nextcloud Server)
от 25.0.0 до 25.0.4 (Nextcloud Server)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Nextcloud:
https://github.com/nextcloud/security-advisories/security/advisories/GHSA-h3c9-cmh8-7qpj
https://github.com/nextcloud/server/commit/5a06b50b10cc9278bbe68bbf897a0c4aeb0c4e60
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 98%
0.65511
Средний

8.8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVSS3: 9
nvd
около 2 лет назад

Nextcloud server is an open source home cloud implementation. In affected versions a missing scope validation allowed users to create workflows which are designed to be only available for administrators. Some workflows are designed to be RCE by invoking defined scripts, in order to generate PDFs, invoking webhooks or running scripts on the server. Due to this combination depending on the available apps the issue can result in a RCE at the end. It is recommended that the Nextcloud Server is upgraded to 24.0.10 or 25.0.4. Users unable to upgrade should disable app `workflow_scripts` and `workflow_pdf_converter` as a mitigation.

CVSS3: 9
debian
около 2 лет назад

Nextcloud server is an open source home cloud implementation. In affec ...

CVSS3: 8.8
redos
около 2 лет назад

Множественные уязвимости Nextcloud

EPSS

Процентиль: 98%
0.65511
Средний

8.8 High

CVSS3

9 Critical

CVSS2