BDU:2024-00716

Опубликовано: 21 нояб. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Вендор

ООО «Ред Софт»

Nextcloud GmbH

Наименование ПО

РЕД ОС

Nextcloud Server

Версия ПО

7.3 (РЕД ОС)

от 25.0.0 до 25.0.11 (Nextcloud Server)

от 26.0.0 до 26.0.6 (Nextcloud Server)

от 27.0.0 до 27.1.0 (Nextcloud Server)

от 22.0.0 до 22.2.10.16 (Nextcloud Server)

от 23.0.0 до 23.0.12.11 (Nextcloud Server)

от 24.0.0 до 24.0.12.7 (Nextcloud Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Nextcloud Server:

https://github.com/nextcloud/security-advisories/security/advisories/GHSA-8f69-f9jg-4x3v

https://github.com/nextcloud/server/pull/40234

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-48306
CVE

EPSS

Процентиль: 65%

0.005

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240402-12

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости nextcloud

CVE-2023-48306

CVSS3: 5

nvd

больше 1 года назад

Nextcloud Server provides data storage for Nextcloud, an open source cloud platform. Starting in version 25.0.0 and prior to versions 25.0.11, 26.0.6, and 27.1.0 of Nextcloud Server and starting in version 22.0.0 and prior to versions 22.2.10.16, 23.0.12.11, 24.0.12.7, 25.0.11, 26.0.6, and 27.1.0 of Nextcloud Enterprise Server, the DNS pin middleware was vulnerable to DNS rebinding allowing an attacker to perform SSRF as a final result. Nextcloud Server 25.0.11, 26.0.6, and 27.1.0 and Nextcloud Enterprise Server 22.2.10.16, 23.0.12.11, 24.0.12.7, 25.0.11, 26.0.6, and 27.1.0 contain patches for this issue. No known workarounds are available.