CVE-2021-22915

Nextcloud Server — obejście ochrony brute-force przez adresy IPv6

CVSS 9.8v3.1pub. 2021-06-11upd. 2024-11-21

Nextcloud Server w wersjach przed 19.0.11, 20.0.10 i 21.0.2 jest podatny na ataki brute-force ze względu na brak uwzględnienia podsieci IPv6 w mechanizmie rate-limitingu. Atakujący może ominąć wbudowaną ochronę przed brute-force i przeprowadzać nieograniczoną liczbę prób logowania.

▸ Pokaż oryginał (EN)

Nextcloud server before 19.0.11, 20.0.10, 21.0.2 is vulnerable to brute force attacks due to lack of inclusion of IPv6 subnets in rate-limiting considerations. This could potentially result in an attacker bypassing rate-limit controls such as the Nextcloud brute-force protection.

🤖 Analiza AI

Jak działa

Mechanizm ochrony przed brute-force w Nextcloud śledzi i blokuje nadmierną liczbę nieudanych prób uwierzytelnienia, jednak implementacja nie obejmowała adresów IPv6 ani ich podsieci. Atakujący korzystający z połączeń IPv6 mógł rotować adresy w ramach przydzielonej puli podsieci, skutecznie omijając liczniki prób i blokady nałożone przez system. Pozwalało to na kontynuowanie ataków słownikowych lub brute-force bez wyzwalania mechanizmów ochronnych (CWE-307 — nieprawidłowe ograniczenie nadmiernych prób uwierzytelnienia).

Skutki

Atakujący może przeprowadzić skuteczny atak brute-force na konta użytkowników Nextcloud, co może prowadzić do nieautoryzowanego dostępu do kont, a w konsekwencji do ujawnienia, modyfikacji lub utraty przechowywanych danych.

Mitygacja

Należy zaktualizować Nextcloud Server do wersji 19.0.11, 20.0.10 lub 21.0.2 (odpowiednio do używanej gałęzi). Użytkownicy dystrybucji Fedora powinni zastosować aktualizacje dostępne w repozytoriach projektu. Dodatkowo zaleca się wdrożenie zewnętrznych mechanizmów ograniczania liczby połączeń na poziomie firewalla lub reverse proxy z uwzględnieniem ruchu IPv6.

Kogo dotyczy

Nextcloud Server w wersjach przed 19.0.11, przed 20.0.10 oraz przed 21.0.2; pakiety dla Fedora Linux.

Uwagi

Podatność zgłoszona za pośrednictwem platformy HackerOne (raport #1154003). Szczegóły opublikowane przez producenta w poradniku bezpieczeństwa NC-SA-2021-009.