CVE-2021-32802

Nextcloud Server — SSRF, ujawnienie plików lub RCE przez podglądy obrazów

CVSS 9.3v3.1pub. 2021-09-07upd. 2024-11-21

Nextcloud Server podczas generowania podglądów (preview) plików graficznych przesłanych przez użytkowników korzystał z biblioteki zewnętrznej nieprzeznaczonej do obsługi niezaufanych danych. Podatność może prowadzić do SSRF, ujawnienia plików lub wykonania kodu na serwerze.

▸ Pokaż oryginał (EN)

Nextcloud server is an open source, self hosted personal cloud. Nextcloud supports rendering image previews for user provided file content. For some image types, the Nextcloud server was invoking a third-party library that wasn't suited for untrusted user-supplied content. There are several security concerns with passing user-generated content to this library, such as Server-Side-Request-Forgery, file disclosure or potentially executing code on the system. The risk depends on your system configuration and the installed library version. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or 22.1.0. These versions do not use this library anymore. As a workaround users may disable previews by setting `enable_previews` to `false` in `config.php`.

🤖 Analiza AI

Jak działa

Nextcloud Server renderuje miniatury i podglądy plików graficznych dostarczanych przez użytkowników. Do obsługi niektórych formatów graficznych serwer wywoływał bibliotekę zewnętrzną, która nie była zaprojektowana do przetwarzania niezaufanych danych wejściowych. Przekazanie spreparowanego pliku graficznego mogło skłonić tę bibliotekę do wykonania nieautoryzowanych żądań sieciowych (SSRF), ujawnienia zawartości plików systemowych lub — w zależności od konfiguracji systemu i zainstalowanej wersji biblioteki — wykonania kodu na serwerze.

Skutki

Atakujący może przeprowadzić atak SSRF, uzyskać dostęp do plików na serwerze lub potencjalnie wykonać dowolny kod na maszynie hostującej instancję Nextcloud. Zakres szkód zależy od konfiguracji systemu oraz zainstalowanej wersji biblioteki zewnętrznej.

Mitygacja

Należy zaktualizować Nextcloud Server do wersji 20.0.12, 21.0.4 lub 22.1.0 — wersje te nie korzystają już z podatnej biblioteki. Jako obejście (workaround) można wyłączyć generowanie podglądów poprzez ustawienie opcji `enable_previews` na `false` w pliku `config.php`.