リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1068-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 20.0.2、19.0.5、18.0.11 より前の Nextcloud Server に入力検証がないため、ユーザーが無制限のデータをワークフロールールに保存できるため、その後のやり取りで負荷や潜在的な DDoS が発生し、これらのルールが使用される可能性があります。(CVE-2020-8293)

  - 20.0.2、19.0.5、18.0.11 より前の Nextcloud Server のリンクの検証が欠落しているため、マークダウン形式に「javascript 」URL を保存する際に Internet Explorer を使用して蓄積型 XSS 攻撃が実行される可能があります。(CVE-2020-8294)

  - Nextcloud Server 19 以前での間違ったチェックにより、ユーザーのパスワードをリセットする際にサービス拒否攻撃を実行できました。(CVE-2020-8295)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.0.11、および 21.0.3 より前のバージョンでは、OCS API 応答にレート制限が適用されません。これは、「@ BruteForceProtection」注釈を使用する OCS API コントローラー (「OCSController」) に影響します。リスクは、Nextcloud Server にインストールされているアプリケーションによって異なりますが、認証レート制限のバイパスや他の Nextcloud ユーザーへのスパム送信にまで及ぶ可能性があります。この脆弱性には、バージョン 19.0.13、20.0.11、および 21.0.3 でパッチが適用されます。アップグレード以外に存在が知られる回避策はありません。(CVE-2021-32678)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.0.11、および 21.0.3 より前のバージョンでは、「DownloadResponse」を使用するコントローラーで、デフォルトでファイル名がエスケープされませんでした。ユーザー指定のファイル名がサニタイズされていない状態で「DownloadResponse」に渡されると、これが悪用されて、ユーザーが悪意のないファイル拡張子を持つ悪意のあるファイルをダウンロードする可能性があります。これは UI の動作に表示され、Nextcloud アプリケーションは無害なファイル拡張子 (JPEG など) を表示しますが、ファイルは実際には実行可能ファイル拡張子でダウンロードされます。この脆弱性には、バージョン 19.0.13、20.0.11、および 21.0.3 でパッチが適用されます。
    Nextcloud インスタンスの管理者には利用可能な回避策がありませんが、Nextcloud アプリの開発者はファイル名を「DownloadResponse」に渡す前に手動でエスケープする可能性があります。(CVE-2021-32679)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.0.11、および 21.0.3 より前のバージョンでは、Nextcloud Server 監査ログ機能が、共有の有効期限の設定解除のイベントを適切にログしていませんでした。このイベントは記録されることになっています。この問題には、バージョン 19.0.13、20.0.11、および 21.0.3 でパッチが適用されています。(CVE-2021-32680)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。Nextcloud サーバーは、認証の目的でアプリケーション固有のトークンをサポートしています。これらのトークンは、特定のアプリケーション (DAV 同期クライアントなど) に付与されることが想定されており、ユーザーがファイルシステムにアクセスできないように構成することもできます権限チェックがないため、トークンは 19.0.13、20.0.11、および 21.0.3 より前のバージョンで、自身の権限を変更できました。したがって、ファイルシステム制限のあるトークンは、ファイルシステムへのアクセス権を自分自身に付与することができました。この問題には、バージョン 19.0.13、20.0.11、および 21.0.3 でパッチが適用されています。アップグレード以外に既知の回避策はありません。(CVE-2021-32688)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3 より前のバージョンでは、shareinfo エンドポイントにレート制限がありませんでした。これにより、攻撃者が潜在的に有効な共有トークンを列挙する可能性がありました。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。
    既知の回避策はありません。(CVE-2021-32703)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3 より前のバージョンでは、パブリック DAV エンドポイントにレート制限がありませんでした。これにより、攻撃者が潜在的に有効な共有トークンまたは認証情報を列挙する可能性がありました。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。既知の回避策はありません。(CVE-2021-32705)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3より前のバージョンでは、ファイルおよびフォルダのフェデレーテッド再共有に対して、デフォルトの共有権限が考慮されていませんでした。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。既知の回避策はありません。
    (CVE-2021-32725)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3 より前のバージョンでは、ユーザーが削除された後に webauthn トークンが削除されませんでした。被害者が以前に使用したユーザー名を再利用した場合、以前のユーザーが自分のアカウントへのアクセス権を取得する可能性がありました。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。既知の回避策はありません。(CVE-2021-32726)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3 より前のバージョンでは、Nextcloud Server に同梱されている Nextcloud Text アプリケーションが、逐語的な例外メッセージをユーザーに返していました。これにより、共有ファイルのフルパスが漏洩する可能性があります。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。回避策として、Nextcloud Server アプリの設定で Nextcloud Text アプリケーションを無効にする可能性があります。(CVE-2021-32734)

  - Nextcloud Server は、データストレージを処理する Nextcloud パッケージです。19.0.13、20.011、および 21.0.3 より前のバージョンでは、パブリック共有リンクマウントエンドポイントにレート制限がありませんでした。これにより、攻撃者が潜在的に有効な共有トークンを列挙する可能性がありました。この問題は、バージョン 19.0.13、20.0.11、および 21.0.3 で修正されました。既知の回避策はありません。(CVE-2021-32741)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1068-1 advisory.

  - A missing input validation in Nextcloud Server before 20.0.2, 19.0.5, 18.0.11 allows users to store     unlimited data in workflow rules causing load and potential DDoS on later interactions and usage with     those rules. (CVE-2020-8293)

  - A missing link validation in Nextcloud Server before 20.0.2, 19.0.5, 18.0.11 allows execution of a stored     XSS attack using Internet Explorer when saving a 'javascript:' URL in markdown format. (CVE-2020-8294)

  - A wrong check in Nextcloud Server 19 and prior allowed to perform a denial of service attack when     resetting the password for a user. (CVE-2020-8295)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.0.11,     and 21.0.3, ratelimits are not applied to OCS API responses. This affects any OCS API controller     (`OCSController`) using the `@BruteForceProtection` annotation. Risk depends on the installed applications     on the Nextcloud Server, but could range from bypassing authentication ratelimits or spamming other     Nextcloud users. The vulnerability is patched in versions 19.0.13, 20.0.11, and 21.0.3. No workarounds     aside from upgrading are known to exist. (CVE-2021-32678)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.0.11,     and 21.0.3, filenames where not escaped by default in controllers using `DownloadResponse`. When a user-     supplied filename was passed unsanitized into a `DownloadResponse`, this could be used to trick users into     downloading malicious files with a benign file extension. This would show in UI behaviours where Nextcloud     applications would display a benign file extension (e.g. JPEG), but the file will actually be downloaded     with an executable file extension. The vulnerability is patched in versions 19.0.13, 20.0.11, and 21.0.3.
    Administrators of Nextcloud instances do not have a workaround available, but developers of Nextcloud apps     may manually escape the file name before passing it into `DownloadResponse`. (CVE-2021-32679)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions priot to 19.0.13, 20.0.11,     and 21.0.3, Nextcloud Server audit logging functionality wasn't properly logging events for the unsetting     of a share expiration date. This event is supposed to be logged. This issue is patched in versions     19.0.13, 20.0.11, and 21.0.3. (CVE-2021-32680)

  - Nextcloud Server is a Nextcloud package that handles data storage. Nextcloud Server supports application     specific tokens for authentication purposes. These tokens are supposed to be granted to a specific     applications (e.g. DAV sync clients), and can also be configured by the user to not have any filesystem     access. Due to a lacking permission check, the tokens were able to change their own permissions in     versions prior to 19.0.13, 20.0.11, and 21.0.3. Thus fileystem limited tokens were able to grant     themselves access to the filesystem. The issue is patched in versions 19.0.13, 20.0.11, and 21.0.3. There     are no known workarounds aside from upgrading. (CVE-2021-32688)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, there was a lack of ratelimiting on the shareinfo endpoint. This may have allowed an attacker     to enumerate potentially valid share tokens. The issue was fixed in versions 19.0.13, 20.0.11, and 21.0.3.
    There are no known workarounds. (CVE-2021-32703)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, there was a lack of ratelimiting on the public DAV endpoint. This may have allowed an attacker     to enumerate potentially valid share tokens or credentials. The issue was fixed in versions 19.0.13,     20.0.11, and 21.0.3. There are no known workarounds. (CVE-2021-32705)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, default share permissions were not being respected for federated reshares of files and     folders. The issue was fixed in versions 19.0.13, 20.0.11, and 21.0.3. There are no known workarounds.
    (CVE-2021-32725)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, webauthn tokens were not deleted after a user has been deleted. If a victim reused an earlier     used username, the previous user could gain access to their account. The issue was fixed in versions     19.0.13, 20.0.11, and 21.0.3. There are no known workarounds. (CVE-2021-32726)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, the Nextcloud Text application shipped with Nextcloud Server returned verbatim exception     messages to the user. This could result in a full path disclosure on shared files. The issue was fixed in     versions 19.0.13, 20.0.11, and 21.0.3. As a workaround, one may disable the Nextcloud Text application in     Nextcloud Server app settings. (CVE-2021-32734)

  - Nextcloud Server is a Nextcloud package that handles data storage. In versions prior to 19.0.13, 20.011,     and 21.0.3, there was a lack of ratelimiting on the public share link mount endpoint. This may have     allowed an attacker to enumerate potentially valid share tokens. The issue was fixed in versions 19.0.13,     20.0.11, and 21.0.3. There are no known workarounds. (CVE-2021-32741)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
151853	openSUSE 15 セキュリティ更新 : nextcloud (openSUSE-SU-2021:1068-1)	Nessus	SuSE Local Security Checks	7/21/2021	12/7/2023	critical
151853	openSUSE 15 Security Update : nextcloud (openSUSE-SU-2021:1068-1)	Nessus	SuSE Local Security Checks	7/21/2021	12/7/2023	critical

Detections

Analytics

Plugins Search

critical

critical