PT-2022-16958 · Nextcloud+1 · Nextcloud Server+1

David_H1 · Publicado 2022-04-27 · Atualizado 2023-07-06 · CVE-2022-24888

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:N/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Nextcloud Server anteriores às 20.0.14.4, 21.0.8, 22.2.4 e 23.0.1

Descrição

A vulnerabilidade permite a criação de arquivos e pastas com os caracteres , r, t e v no início ou no final. O servidor rejeita esses caracteres quando eles aparecem no meio de nomes de arquivos ou pastas, o que pode proporcionar uma oportunidade para injeção.

Recomendações

Para versões anteriores à 20.0.14.4, atualize para a versão 20.0.14.4 ou posterior.

Para versões anteriores à 21.0.8, atualize para a versão 21.0.8 ou posterior.

Para versões anteriores à 22.2.4, atualize para a versão 22.2.4 ou posterior.

Para versões anteriores à 23.0.1, atualize para a versão 23.0.1 ou posterior.

Exploit

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

ALT-PU-2022-2504

ALT-PU-2022-2555

CVE-2022-24888

GHSA-W3H6-P64H-Q9JP

Produtos afetados

Alt Linux

Nextcloud Server

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24888.json · Exploit
• https://github.com/nextcloud/server/pull/29895 · Correção
• https://github.com/nextcloud/security-advisories/security/advisories/GHSA-w3h6-p64h-q9jp · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-24888 · Nota de Segurança
• https://t.me/cibsecurity/41497 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24888 · Aviso do Fabricante
• https://t.me/cvenotify/53753 · Publicação no Telegram
• https://hackerone.com/reports/1402249 · Nota
• https://security.gentoo.org/glsa/202208-17 · Aviso do Fabricante