🇰🇷 한글 설명
Nextcloud와 통합된 칸반 스타일 도구인 Deck에서 발생하는 취약점입니다. Windows 컴퓨터 사용자가 악성 딥 링크를 클릭할 경우, 공격자가 임의의 본문을 포함한 POST 요청을 강제로 전송하게 만들 수 있습니다.
💡 쉬운 설명
사용자가 이메일이나 채팅에 포함된 나쁜 링크를 클릭하기만 해도, 사용자의 컴퓨터가 공격자가 원하는 명령을 몰래 서버로 보내게 됩니다. 이를 통해 개인 정보가 유출되거나 설정이 변경될 위험이 있습니다.
🇺🇸 원문 (English)
Deck is a kanban style organization tool aimed at personal planning and project organization for teams integrated with Nextcloud. It is possible to make a user send any POST request with an arbitrary body given they click on a malicious deep link on a Windows computer. (e.g. in an email, chat link, etc). There are currently no known workarounds. It is recommended that the Nextcloud Desktop client is upgraded to 3.6.2.
📍 영향받는 시스템
Windows 환경의 Nextcloud Desktop Client (3.6.2 미만 버전)
⚔️ 공격 벡터
사용자가 이메일, 채팅 등을 통해 전달된 악성 딥 링크를 클릭하도록 유도하는 사회 공학적 공격
🛡️ 대응 방법
Nextcloud 데스크톱 클라이언트를 3.6.2 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 3.6.2보다 낮은지 확인하십시오.
nextcloud-client --version 2>/dev/null || echo 'Please check installed version manually'