BDU:2024-00715

Опубликовано: 23 июн. 2023

Источник: fstec

CVSS3: 8.1

CVSS2: 8.5

EPSS Низкий

Описание

Уязвимость компонента index.php пакета программ Enterprise Server, облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, изменять или удалять VCards в системной адресной книге на сервере NextCloud

Вендор

ООО «Ред Софт»

Nextcloud GmbH

Наименование ПО

РЕД ОС

Nextcloud Server

Версия ПО

7.3 (РЕД ОС)

от 25.0.0 до 25.0.7 (Nextcloud Server)

от 26.0.0 до 26.0.2 (Nextcloud Server)

от 16.0.0 до 19.0.13.9 (Nextcloud Server)

от 20.0.0 до 20.0.14.14 (Nextcloud Server)

от 21.0.0 до 21.0.9.12 (Nextcloud Server)

от 22.0.0 до 22.2.10.12 (Nextcloud Server)

от 23.0.0 до 23.0.12.7 (Nextcloud Server)

от 24.0.0 до 24.0.12.2 (Nextcloud Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/nextcloud/security-advisories/security/advisories/GHSA-h7f7-535f-7q87

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-35927
CVE

EPSS

Процентиль: 40%

0.00177

Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

ROS-20241112-11

CVSS3: 8.1

redos

7 месяцев назад

Множественные уязвимости nextcloud

CVE-2023-35927

CVSS3: 7.6

nvd

почти 2 года назад

NextCloud Server and NextCloud Enterprise Server provide file storage for Nextcloud, a self-hosted productivity platform. In NextCloud Server versions 25.0.0 until 25.0.7 and 26.0.0 until 26.0.2 and Nextcloud Enterprise Server versions 21.0.0 until 21.0.9.12, 22.0.0 until 22.2.10.12, 23.0.0 until 23.0.12.7, 24.0.0 until 24.0.12.2, 25.0.0 until 25.0.7, and 26.0.0 until 26.0.2, when two server are registered as trusted servers for each other and successfully exchanged the share secrets, the malicious server could modify or delete VCards in the system addressbook on the origin server. This would impact the available and shown information in certain places, such as the user search and avatar menu. If a manipulated user modifies their own data in the personal settings the entry is fixed again. Nextcloud Server n 25.0.7 and 26.0.2 and Nextcloud Enterprise Server 21.0.9.12, 22.2.10.12, 23.0.12.7, 24.0.12.2, 25.0.7, and 26.0.2 contain a patch for this issue. A workaround is available. Remove