The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1253-1 advisory.

  - Nextcloud Text is an open source plaintext editing application which ships with the nextcloud server. In     affected versions the Nextcloud Text application returned different error messages depending on whether a     folder existed in a public link share. This is problematic in case the public link share has been created     with Upload Only privileges. (aka File Drop). A link share recipient is not expected to see which     folders or files exist in a File Drop share. Using this vulnerability an attacker is able to enumerate     folders in such a share. Exploitation requires that the attacker has access to a valid affected File     Drop link share. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or 22.0.1.
    Users who are unable to upgrade are advised to disable the Nextcloud Text application in the app settings.
    (CVE-2021-32766)

  - Nextcloud server is an open source, self hosted personal cloud. In affected versions an attacker is able     to bypass Two Factor Authentication in Nextcloud. Thus knowledge of a password, or access to a WebAuthN     trusted device of a user was sufficient to gain access to an account. It is recommended that the Nextcloud     Server is upgraded to 20.0.12, 21.0.4 or 22.1.0. There are no workaround for this vulnerability.
    (CVE-2021-32800)

  - Nextcloud server is an open source, self hosted personal cloud. In affected versions logging of exceptions     may have resulted in logging potentially sensitive key material for the Nextcloud Encryption-at-Rest     functionality. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or 22.1.0. If     upgrading is not an option users are advised to disable system logging to resolve this issue until such     time that an upgrade can be performed Note that ff you do not use the Encryption-at-Rest functionality of     Nextcloud you are not affected by this bug. (CVE-2021-32801)

  - Nextcloud server is an open source, self hosted personal cloud. Nextcloud supports rendering image     previews for user provided file content. For some image types, the Nextcloud server was invoking a third-     party library that wasn't suited for untrusted user-supplied content. There are several security concerns     with passing user-generated content to this library, such as Server-Side-Request-Forgery, file disclosure     or potentially executing code on the system. The risk depends on your system configuration and the     installed library version. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or     22.1.0. These versions do not use this library anymore. As a workaround users may disable previews by     setting `enable_previews` to `false` in `config.php`. (CVE-2021-32802)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2021:1255-1 advisory.

  - Nextcloud Text is an open source plaintext editing application which ships with the nextcloud server. In     affected versions the Nextcloud Text application returned different error messages depending on whether a     folder existed in a public link share. This is problematic in case the public link share has been created     with Upload Only privileges. (aka File Drop). A link share recipient is not expected to see which     folders or files exist in a File Drop share. Using this vulnerability an attacker is able to enumerate     folders in such a share. Exploitation requires that the attacker has access to a valid affected File     Drop link share. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or 22.0.1.
    Users who are unable to upgrade are advised to disable the Nextcloud Text application in the app settings.
    (CVE-2021-32766)

  - Nextcloud server is an open source, self hosted personal cloud. In affected versions an attacker is able     to bypass Two Factor Authentication in Nextcloud. Thus knowledge of a password, or access to a WebAuthN     trusted device of a user was sufficient to gain access to an account. It is recommended that the Nextcloud     Server is upgraded to 20.0.12, 21.0.4 or 22.1.0. There are no workaround for this vulnerability.
    (CVE-2021-32800)

  - Nextcloud server is an open source, self hosted personal cloud. In affected versions logging of exceptions     may have resulted in logging potentially sensitive key material for the Nextcloud Encryption-at-Rest     functionality. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or 22.1.0. If     upgrading is not an option users are advised to disable system logging to resolve this issue until such     time that an upgrade can be performed Note that ff you do not use the Encryption-at-Rest functionality of     Nextcloud you are not affected by this bug. (CVE-2021-32801)

  - Nextcloud server is an open source, self hosted personal cloud. Nextcloud supports rendering image     previews for user provided file content. For some image types, the Nextcloud server was invoking a third-     party library that wasn't suited for untrusted user-supplied content. There are several security concerns     with passing user-generated content to this library, such as Server-Side-Request-Forgery, file disclosure     or potentially executing code on the system. The risk depends on your system configuration and the     installed library version. It is recommended that the Nextcloud Server is upgraded to 20.0.12, 21.0.4 or     22.1.0. These versions do not use this library anymore. As a workaround users may disable previews by     setting `enable_previews` to `false` in `config.php`. (CVE-2021-32802)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1253-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Nextcloud Text は、nextcloud サーバーに付属しているオープンソースの平文編集アプリケーションです。影響を受けるバージョンでは、フォルダがパブリックリンク共有に存在するかどうかに応じて、Nextcloud Text アプリケーションが異なるエラーメッセージを返していました。これは、パブリックリンク共有が Upload Only 権限で作成されている場合、問題があります。(別名ファイルドロップ)。リンク共有の受信者は、File Drop 共有に存在するフォルダまたはファイルを確認する必要はありません。この脆弱性を利用して、攻撃者はこのような共有のフォルダを列挙することができます。悪用には、影響を受ける有効なファイルドロップリンク共有へのアクセス権が攻撃者にあることが必要です。Nextcloud Server を 20.0.12、21.0.4、または 22.0.1 にアップグレードすることが推奨されます。
    アップグレードできないユーザーは、アプリの設定で Nextcloud Text アプリケーションを無効にすることをお勧めします。
    (CVE-2021-32766)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。影響を受けるバージョンでは、攻撃者が Nextcloud で二要素認証をバイパスできます。したがって、パスワードの知識、またはユーザーの WebAuthN 信頼デバイスへのアクセスは、アカウントへのアクセスを取得するのに十分でした。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。この脆弱性に対する回避策はありません。
    (CVE-2021-32800)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。影響を受けるバージョンでは、例外のロギングにより、Nextcloud Encryption-at-Rest 機能の機密性の高いキーマテリアルがロギングされる可能性があります。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。アップグレードがオプションではない場合、アップグレードを実行できるような時間になるまで、システムログを無効にしてこの問題を解決することをお勧めします。Nextcloud の Encryption-at-Rest 機能を使用しない場合は、このバグの影響を受けません。(CVE-2021-32801)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。Nextcloud は、ユーザー指定のファイルコンテンツのレンダリング画像プレビューをサポートしています。一部の画像タイプで、Nextcloud サーバーが、信頼できないユーザー指定のコンテンツに適さないサードパーティライブラリを呼び出していました。ユーザーが生成したコンテンツをこのライブラリに渡す際に、サーバーサイドリクエストフォージェリ、ファイル漏洩、システムでのコード実行の可能性など、いくつかのセキュリティ問題があります。リスクは、システム構成およびインストールされているライブラリのバージョンによって異なります。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。これらのバージョンは、このライブラリを使用しなくなりました。回避策として、ユーザーが「config.php」で「enable_previews」を「false」に設定することで、プレビューを無効にする可能性があります。(CVE-2021-32802)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2021:1255-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Nextcloud Text は、nextcloud サーバーに付属しているオープンソースの平文編集アプリケーションです。影響を受けるバージョンでは、フォルダがパブリックリンク共有に存在するかどうかに応じて、Nextcloud Text アプリケーションが異なるエラーメッセージを返していました。これは、パブリックリンク共有が Upload Only 権限で作成されている場合、問題があります。(別名ファイルドロップ)。リンク共有の受信者は、File Drop 共有に存在するフォルダまたはファイルを確認する必要はありません。この脆弱性を利用して、攻撃者はこのような共有のフォルダを列挙することができます。悪用には、影響を受ける有効なファイルドロップリンク共有へのアクセス権が攻撃者にあることが必要です。Nextcloud Server を 20.0.12、21.0.4、または 22.0.1 にアップグレードすることが推奨されます。
    アップグレードできないユーザーは、アプリの設定で Nextcloud Text アプリケーションを無効にすることをお勧めします。
    (CVE-2021-32766)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。影響を受けるバージョンでは、攻撃者が Nextcloud で二要素認証をバイパスできます。したがって、パスワードの知識、またはユーザーの WebAuthN 信頼デバイスへのアクセスは、アカウントへのアクセスを取得するのに十分でした。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。この脆弱性に対する回避策はありません。
    (CVE-2021-32800)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。影響を受けるバージョンでは、例外のロギングにより、Nextcloud Encryption-at-Rest 機能の機密性の高いキーマテリアルがロギングされる可能性があります。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。アップグレードがオプションではない場合、アップグレードを実行できるような時間になるまで、システムログを無効にしてこの問題を解決することをお勧めします。Nextcloud の Encryption-at-Rest 機能を使用しない場合は、このバグの影響を受けません。(CVE-2021-32801)

  - Nextcloud サーバーは、オープンソースの自己ホスト型パーソナルクラウドです。Nextcloud は、ユーザー指定のファイルコンテンツのレンダリング画像プレビューをサポートしています。一部の画像タイプで、Nextcloud サーバーが、信頼できないユーザー指定のコンテンツに適さないサードパーティライブラリを呼び出していました。ユーザーが生成したコンテンツをこのライブラリに渡す際に、サーバーサイドリクエストフォージェリ、ファイル漏洩、システムでのコード実行の可能性など、いくつかのセキュリティ問題があります。リスクは、システム構成およびインストールされているライブラリのバージョンによって異なります。Nextcloud Server を 20.0.12、21.0.4、または 22.1.0 にアップグレードすることが推奨されます。これらのバージョンは、このライブラリを使用しなくなりました。回避策として、ユーザーが「config.php」で「enable_previews」を「false」に設定することで、プレビューを無効にする可能性があります。(CVE-2021-32802)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
153392	openSUSE 15 Security Update : nextcloud (openSUSE-SU-2021:1253-1)	Nessus	SuSE Local Security Checks	2021/9/15	2021/9/15	critical
153393	openSUSE 15 Security Update : nextcloud (openSUSE-SU-2021:1255-1)	Nessus	SuSE Local Security Checks	2021/9/15	2021/9/15	critical
153392	openSUSE 15 セキュリティ更新: nextcloud (openSUSE-SU-2021:1253-1)	Nessus	SuSE Local Security Checks	2021/9/15	2021/9/15	critical
153393	openSUSE 15 セキュリティ更新 : nextcloud (openSUSE-SU-2021:1255-1)	Nessus	SuSE Local Security Checks	2021/9/15	2021/9/15	critical

偵測

搜尋 Plugin

critical

critical

critical

critical