🇰🇷 한글 설명
Nextcloud Desktop 클라이언트 3.16.5 미만 버전에서 종단간 암호화(E2EE) 디렉토리 내 파일을 수동으로 잠글 때 파일 경로가 암호화되지 않은 상태로 서버에 전송됩니다. 이로 인해 서버 관리자가 로그 파일을 통해 파일 경로를 확인할 수 있는 정보 노출 취약점이 존재합니다.
💡 쉬운 설명
암호화된 폴더 안의 파일을 잠글 때, 파일의 이름이나 위치 정보가 암호화되지 않고 서버로 전달되는 문제입니다. 이 때문에 서버 관리자가 사용자의 파일 이름을 몰래 볼 수 있습니다.
🇺🇸 원문 (English)
Nextcloud Desktop is the desktop sync client for Nextcloud. Prior to 3.16.5, when trying to manually lock a file inside an end-to-end encrypted directory, the path of the file was sent to the server unencrypted, making it possible for administrators to see it in log files. This vulnerability is fixed in 3.16.5.
📍 영향받는 시스템
Nextcloud Desktop client versions prior to 3.16.5
⚔️ 공격 벡터
서버 관리자가 서버 로그 파일을 확인하여 암호화된 파일의 경로 및 이름을 탈취
🛡️ 대응 방법
Nextcloud Desktop 클라이언트를 3.16.5 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.16.5 미만인지 확인하십시오.
nextcloud --version 2>/dev/null || echo 'Please check your installed Nextcloud Desktop version manually'