Nextcloud sollte aus Sicherheitsgründen auf den aktuellen Stand gebracht werden. An mehreren Sicherheitslücken können Angreifer ansetzen.

Betroffen sind die Notes-, Server-, Talk-Android- und user_oidc-Pakete von Nextcloud und Nextcloud Enterprise. Mit dem Bedrohungsgrad "hoch" sind die drei Sicherheitslücken CVE-2023-39963, CVE-2023-39962 und CVE-2023-39957 eingestuft.

Bei einer erfolgreichen Attacke können Angreifer unter anderem App-Passwörter erstellen, Dateien auf externen Speichern löschen und Daten ins Root-Verzeichnis schreiben. Die Versionen Server (Nextcloud) 25.0.9, 26.0.4, 27.0.1, Server (Nextcloud Enterprise) 19.0.13.10, 20.0.14.15, 21.0.9.13, 22.2.10.14, 23.0.12.9, 24.0.12.5, 25.0.9, 26.0.4, 27.0.1 und Talk Android (Nextcloud) 17.0.0 sind dagegen abgesichert.

Mit "mittel" und "niedrig" sind die verbleibenden Lücken eingestuft. Darüber können Angreifer unter anderem für Brute-Force-Attacken ansetzen und auf unverschlüsselte Client-Daten zugreifen. Auch diese Schwachstellen wurden mit den oben genannten Versionen behoben.

Die Entwickler führen in mehreren Warnmeldungen weitere Informationen zu den Sicherheitslücken und den bedrohten Ausgaben auf.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE