阿里云漏洞库

漏洞描述

Nextcloud是德国Nextcloud公司的一套开源的自托管文件同步和共享的通信应用平台。

Nextcloud server 存在安全漏洞，该漏洞源于Nextcloud的groupfolders应用程序允许与一群人共享一个文件夹。Nextcloud server是一个自托管系统，旨在提供云风格的服务。此外，该漏洞允许攻击者对子文件夹设置“advanced permissions”，例如，用户可以被授予对groupfolders的访问权限，但不能被授予对特定子文件夹的访问权限。由于受影响的版本缺乏权限检查，用户仍然可以通过将groupfolders复制到另一个位置来访问这些子文件夹。Nextcloud server建议升级到20.0.14、21.0.6或22.2.1，无法升级的用户需要在管理设置中禁用“groupfolders”应用程序。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/nextcloud/security-advisories/security/advisories/GHSA-m4wp-r357-4q94

参考链接
https://github.com/nextcloud/groupfolders/issues/1692
https://github.com/nextcloud/security-advisories/security/advisories/GHSA-m4w...
https://github.com/nextcloud/server/pull/29362
https://security.gentoo.org/glsa/202208-17

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	nextcloud	nextcloud_server	*		Up to (excluding) 20.0.14
	运行在以下环境
	应用	nextcloud	nextcloud_server	*	From (including) 21.0.0	Up to (excluding) 21.0.6
	运行在以下环境
	应用	nextcloud	nextcloud_server	22.2.0	-
	运行在以下环境
	系统	opensuse_Leap_15.3	nextcloud	*		Up to (excluding) 21.0.9-bp153.2.12.1

攻击路径

远程
攻击复杂度

复杂
权限要求

无需权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-862	授权机制缺失
CWE-863	授权机制不正确

中危 Nextcloud 安全漏洞（CVE-2021-41241）

漏洞描述

解决建议

参考链接

受影响软件情况