🇰🇷 한글 설명
Nextcloud 서버의 User Status API가 관리자의 사용자 목록 노출 제한 설정을 무시하는 취약점이 발견되었습니다. 이로 인해 사용자 목록 표시 기능이 비활성화된 상태에서도 공격자가 인스턴스 내의 다른 사용자 정보를 열거할 수 있습니다.
💡 쉬운 설명
관리자가 사용자 목록을 숨기도록 설정했음에도 불구하고, 특정 기능을 통해 다른 사용자의 정보를 몰래 알아낼 수 있는 문제입니다. 이를 통해 시스템에 등록된 사용자들의 아이디 등을 수집할 수 있습니다.
🇺🇸 원문 (English)
Nextcloud server is a self hosted system designed to provide cloud style services. In affected versions the User Status API did not consider the user enumeration settings by the administrator. This allowed a user to enumerate other users on the instance, even when user listings where disabled. It is recommended that the Nextcloud Server is upgraded to 20.0.14, 21.0.6 or 22.2.1. There are no known workarounds.
📍 영향받는 시스템
Nextcloud Server (20.0.14, 21.0.6, 22.2.1 미만 버전)
⚔️ 공격 벡터
User Status API를 이용한 사용자 열거(User Enumeration)
🛡️ 대응 방법
Nextcloud 서버를 20.0.14, 21.0.6 또는 22.2.1 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 권장되는 보안 패치 버전(20.0.14, 21.0.6, 22.2.1 이상)보다 낮은지 확인하십시오.
curl -s http://<your-nextcloud-url>/version.php | grep -E 'version' || echo 'Version info not accessible'