CVE-2023-26482

2023. április 3. 10:38

Nextcloud Server sérülékenysége
Angol cím: Nextcloud Server vulnerability

Publikálás dátuma: 2023.03.30.
Utolsó módosítás dátuma: 2023.03.31.

Leírás

Operációs rendszer parancs injektálás: A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják a tervezett operációs rendszer parancsot, amikor azt a következő komponensnek küldi.

Leírás forrása: CWE-78

Elemzés leírás

Eredeti nyelven: Nextcloud server is an open source home cloud implementation. In affected versions a missing scope validation allowed users to create workflows which are designed to be only available for administrators. Some workflows are designed to be RCE by invoking defined scripts, in order to generate PDFs, invoking webhooks or running scripts on the server. Due to this combination depending on the available apps the issue can result in a RCE at the end. It is recommended that the Nextcloud Server is upgraded to 24.0.10 or 25.0.4. Users unable to upgrade should disable app `workflow_scripts` and `workflow_pdf_converter` as a mitigation.

Elemzés leírás forrása: CVE-2023-26482

Hatás

CVSS3.1 Súlyosság és Metrika

Base score: 9 (Kritikus)
Vector: AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Impact Score: 6
Exploitability Score: 2.3

Attack Vector (AV): Network
Attack Complexity (AC): Low
Privileges Required (PR): Low
User Interaction (UI): Required
Scope (S): Changed
Confidentiality Impact (C): High
Integrity Impact (I): High
Availability Impact (A): High