BDU:2024-00715 (CVE-2023-35927) — уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server

По данным БДУ ФСТЭК России, по состоянию на 15.11.2024.

Высокий — 8.1/10 Устранена

Уязвимость компонента index.php пакета программ Enterprise Server, облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, изменять или удалять VCards в системной адресной книге на сервере NextCloud

Кого касается и что делать

Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; Nextcloud Server (Nextcloud) — версии от 25.0.0 до 25.0.7, от 26.0.0 до 26.0.2, от 16.0.0 до 19.0.13.9, от 20.0.0 до 20.0.14.14, от 21.0.0 до 21.0.9.12, от 22.0.0 до 22.2.10.12, от 23.0.0 до 23.0.12.7, от 24.0.0 до 24.0.12.2
Что делать: уязвимость устранена производителем — применить исправления: github.com, repo.red-soft.ru

Сведения об уязвимости

Идентификаторы	BDU:2024-00715 · CVE-2023-35927
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на целостность и доступность
Наименование ФСТЭК	Уязвимость облачного программного обеспечения для создания и использования хранилища данных Nextcloud Server, связанная с недостатками контроля доступа, позволяющая нарушителю изменять или удалять VCards в системной адресной книге на сервере NextCloud
Даты	Опубликована: 25.01.2024 · Обновлена ФСТЭК: 15.11.2024 · Выявлена: 23.06.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-284 — неправильный контроль доступа
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение авторизации

Уязвимое ПО

РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Nextcloud Server (Nextcloud) — версии от 25.0.0 до 25.0.7, от 26.0.0 до 26.0.2, от 16.0.0 до 19.0.13.9, от 20.0.0 до 20.0.14.14, от 21.0.0 до 21.0.9.12, от 22.0.0 до 22.2.10.12, от 23.0.0 до 23.0.12.7, от 24.0.0 до 24.0.12.2 · прикладное ПО информационных систем