Die Entwickler haben in ihrer Kollaborations-Software Nextcloud mehrere Sicherheitslücken geschlossen. Davon wurden einige als hochriskant eingestuft. Aktualisierungen stehen teils schon einige Zeit bereit und sollten installiert werden.

In den Komponenten Cookbook und Mail fanden sich neben dem Nextcloud Server ebenfalls Schwachstellen. Laut Sicherheitsmeldung der Nextcloud-Entwickler fehlte im Server ein Schutz vor Brute-Force-Angriffen auf Zugangsdaten in den WebDAV-Endpunkten, sofern der Nutzername keine E-Mail-Adresse war (CVE-2023-32319, CVSS 8.1, Risiko "hoch").

Nutzer-Sessions wurden zwischen dem Nextcloud Server und der Text App beim Log-out nicht korrekt zurückgesetzt. Daher könnten bösartige Akteure nach einer Anmeldung die Authentifizierung als ein zuvor angemeldeter Nutzer übernehmen (CVE-2023-32318, CVSS 7.2, hoch). Die Probleme werden durch die Updates auf Nextcloud Server 25.0.6, 26.0.1 und Enterprise 23.0.12.6, 24.0.11, 25.0.6 or 26.0.1 behoben. Administratoren sollten auf die aktuell angebotenen Stände aktualisieren, da es bereits teilweise neuere Software gibt.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE