BDU:2024-04875

Уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server, связанная с неправильной аутентификацией, позволяющая нарушителю обойти процесс аутентификации

Опубликовано: 2024-06-28

Описание

Уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server связана с получением доступа к активному сеансу другого пользователя, отправляя вызовы непосредственно в API, минуя подтверждение пароля. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процесс аутентификации

Затрагиваемое ПО и версии

РЕД ОС (7.3)Nextcloud Server (от 26.0.0 до 26.0.9)Nextcloud Server (от 27.0.0 до 27.1.4)

Способ устранения

Для Nextcloud Server:
https://github.com/nextcloud/security-advisories/security/advisories/GHSA-3f8p-6qww-2prr
https://github.com/nextcloud/server/pull/41520

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	5.5 — средняя опасность

Источники и патчи

https://github.com/nextcloud/security-advisories/security/advisories/GHSA-3f8p-6qww-2prr https://github.com/nextcloud/server/pull/41520 https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена