PT-2024-27810 · Nextcloud · Nextcloud Desktop Client

Lourc0D3 · Publicado 2024-06-14 · Atualizado 2024-08-19 · CVE-2024-37885

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.8

Baixa

Vetor base

AV:L/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Nextcloud Desktop Client anteriores à 3.12.0

Descrição

Uma falha de injeção de código no Nextcloud Desktop Client para macOS permite que código arbitrário seja carregado quando o cliente é iniciado com a variável de ambiente DYLD INSERT LIBRARIES definida. Esta vulnerabilidade afeta a sincronização de arquivos do Nextcloud Server com o computador do usuário.

Recomendações

Para versões anteriores à 3.12.0, atualize o Nextcloud Desktop Client para a versão 3.12.0 para resolver o problema. Como solução temporária, considere restringir o uso da variável de ambiente DYLD INSERT LIBRARIES até que a atualização seja aplicada.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-37885

GHSA-4MF7-V63M-99P7

Produtos afetados

Nextcloud Desktop Client

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37885.json · Exploit
• https://github.com/nextcloud/desktop/pull/6378 · Correção
• https://github.com/nextcloud/security-advisories/security/advisories/GHSA-4mf7-v63m-99p7 · Correção
• https://twitter.com/linuxpatch/status/1801663212384833609 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-37885 · Aviso do Fabricante
• https://hackerone.com/reports/2307625 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-37885 · Nota de Segurança
• https://twitter.com/CVEnew/status/1801673782781952233 · Publicação no Twitter