CVE-2021-32679
Açıklama
Nextcloud Server, veri depolamayı yöneten bir Nextcloud paketidir. 19.0.13, 20.0.11 ve 21.0.3 öncesindeki sürümlerde, `DownloadResponse` kullanan denetleyicilerde dosya adları varsayılan olarak kaçış karakterine tabi tutulmuyordu. Kullanıcı tarafından sağlanan bir dosya adı temizlenmeden `DownloadResponse` içine aktarıldığında, bu durum kullanıcıların zararsız bir dosya uzantısına sahip kötü amaçlı dosyaları indirmeleri için kandırılmak amacıyla kullanılabilirdi. Bu durum, Nextcloud uygulamalarının arayüzünde zararsız bir dosya uzantısı (örneğin JPEG) görüntülemesine rağmen, dosyanın gerçekte yürütülebilir bir dosya uzantısıyla indirilmesi şeklinde ortaya çıkardı. Zafiyet; 19.0.13, 20.0.11 ve 21.0.3 sürümlerinde giderilmiştir. Nextcloud örneklerinin yöneticileri için mevcut bir geçici çözüm bulunmamaktadır ancak Nextcloud uygulama geliştiricileri, dosya adını `DownloadResponse` içine aktarmadan önce manuel olarak kaçış karakterine tabi tutabilirler.
Nasıl düzeltilir
- nextcloud nextcloud_server19.0.13, 20.0.11, 21.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nextcloud nextcloud_server | v < 19.0.13, 20.0.0 ≤ v < 20.0.11, 21.0.0 ≤ v < 21.0.3 | 19.0.13, 20.0.11, 21.0.3 |
| fedoraproject fedora | 33, 34 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.