🇰🇷 한글 설명
Nextcloud의 groupfolders 애플리케이션에서 권한 확인 절차가 누락되어 발생하는 취약점입니다. 공격자는 그룹 폴더를 다른 위치로 복사함으로써 하위 폴더에 설정된 고급 권한 제한을 우회하고 데이터에 접근할 수 있습니다.
💡 쉬운 설명
특정 폴더에 접근하지 못하도록 막아두었음에도 불구하고, 폴더를 복사하는 방식으로 보안 설정을 무력화할 수 있는 문제입니다. 이를 통해 허용되지 않은 파일이나 폴더를 볼 수 있게 됩니다.
🇺🇸 원문 (English)
Nextcloud server is a self hosted system designed to provide cloud style services. The groupfolders application for Nextcloud allows sharing a folder with a group of people. In addition, it allows setting "advanced permissions" on subfolders, for example, a user could be granted access to the groupfolder but not specific subfolders. Due to a lacking permission check in affected versions, a user could still access these subfolders by copying the groupfolder to another location. It is recommended that the Nextcloud Server is upgraded to 20.0.14, 21.0.6 or 22.2.1. Users unable to upgrade should disable the "groupfolders" application in the admin settings.
📍 영향받는 시스템
Nextcloud groupfolders application (버전 확인 필요)
⚔️ 공격 벡터
권한이 제한된 그룹 폴더를 다른 위치로 복사하여 하위 폴더의 접근 제한을 우회함
🛡️ 대응 방법
Nextcloud를 20.0.14, 21.0.6 또는 22.2.1 버전 이상으로 업그레이드하거나, 불가능할 경우 groupfolders 앱을 비활성화하십시오.
🔧 검증 코드
명령어 결과에 groupfolders가 표시되면 해당 앱이 설치되어 있으므로, 설치된 Nextcloud 버전을 확인하여 취약 버전 여부를 판단해야 합니다.
php occ app:list | grep groupfolders