BDU:2021-04668 (CVE-2021-22895)

Уязвимость клиента инструмента синхронизации папок для рабочего стола Nextcloud, связанная с ошибками процедуры подтверждения подлинности сертификата, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2021-09-20

Описание

Уязвимость клиента инструмента синхронизации папок для рабочего стола Nextcloud связана с отсутствием проверки сертификата SSL при использовании потока "Register with a Provider". Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)Nextcloud (до 3.1.3)

Способ устранения

Для Nextcloud:
использование рекомендаций производителя: https://github.com/nextcloud/security-advisories/security/advisories/GHSA-qpgp-vf4p-wcw5

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-22895

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://github.com/nextcloud/desktop/pull/2926 https://github.com/nextcloud/security-advisories/security/advisories/GHSA-qpgp-vf4p-wcw5 https://hackerone.com/reports/903424 https://nvd.nist.gov/vuln/detail/CVE-2021-22895 https://security-tracker.debian.org/tracker/CVE-2021-22895

Проверьте безопасность своего сайта и почты → Полная проверка домена