Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2024-30247 là lỗ hổng Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') ảnh hưởng tới nextcloudpi (phiên bản bị ảnh hưởng: < 1.53.1). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 10. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
NextcloudPi là một image sẵn sàng sử dụng cho Virtual Machines, Raspberry Pi, Odroid HC1, Rock64 và các board khác. Một lỗ hổng chèn lệnh trong NextCloudPi cho phép thực thi lệnh với tư cách người dùng root thông qua web-panel của NextCloudPi. Do cấu hình bảo mật sai, bất kỳ ai có quyền truy cập vào web-panel của NextCloudPi đều có thể sử dụng lỗ hổng này; không yêu cầu xác thực. Khuyến nghị nâng cấp NextCloudPi lên 1.53.1.
<=1.53.0 được xác định là bị ảnh hưởng.1.53.1.Nextcloud NextCloudPi có lỗi chèn lệnh hệ điều hành, thuộc CWE-78. Dữ liệu do kẻ tấn công kiểm soát có thể được đưa vào quá trình thực thi lệnh mà không được trung hòa đầy đủ, dẫn đến thực thi lệnh với quyền root trên hệ thống chạy NextCloudPi. Điều kiện khai thác là có khả năng truy cập NextCloudPi web-panel qua mạng; không cần xác thực và không cần người dùng tương tác. Bản ghi hiện có không xác định trường đầu vào, handler, lệnh hệ điều hành hoặc endpoint cụ thể bị ảnh hưởng. Do quyền thực thi là root, việc khai thác thành công có thể vượt ra ngoài phạm vi riêng của web-panel và ảnh hưởng đến appliance hoặc hệ thống nền tảng.
Lỗi có thể bị khai thác từ xa qua mạng thông qua NextCloudPi web-panel. Người tấn công không cần xác thực, không cần đặc quyền trước và không cần người dùng khác tương tác; độ phức tạp được đánh giá là thấp. Bản ghi không cung cấp payload, chuỗi khai thác hoặc endpoint cụ thể, vì vậy không nên suy diễn quy trình khai thác chi tiết. Bản ghi không xác nhận việc khai thác thực tế và không nêu exploit công khai; điều này không chứng minh rằng việc khai thác chưa từng xảy ra.
Lỗi cho phép một yêu cầu từ xa không cần xác thực dẫn đến thực thi lệnh với quyền root trên hệ thống NextCloudPi. Tác động kỹ thuật có thể bao gồm mất tính bí mật, mất tính toàn vẹn và mất tính sẵn sàng của dữ liệu hoặc dịch vụ mà appliance có quyền truy cập. Quyền root cũng có thể cho phép ảnh hưởng đến các thành phần khác trên cùng hệ thống; đây là hậu quả có khả năng xảy ra từ quyền thực thi được mô tả, không phải một chi tiết triển khai cụ thể đã được công bố. Bản ghi không xác định giới hạn chính xác của phạm vi ảnh hưởng ngoài web-panel.
Việc khai thác thành công có thể cho phép thực thi mã hoặc lệnh với quyền root trên máy chủ NextCloudPi. Hệ quả có thể gồm truy cập trái phép vào dữ liệu, sửa đổi cấu hình hoặc tệp, cài đặt thay đổi lâu dài và làm gián đoạn dịch vụ. Vì lỗi không yêu cầu xác thực, việc công khai web-panel làm tăng rủi ro cho các appliance được dùng để lưu trữ hoặc cung cấp dữ liệu. Bản ghi không xác nhận một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể.
1.53.1 và xác minh rằng bản triển khai đang chạy thực sự đã được cập nhật.<=1.53.0, bao gồm cả các bản triển khai ngoài quy trình quản lý tập trung.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
