リモートの openSUSE 15 ホストには、openSUSE-SU-2023:0090-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Nexcloud デスクトップは、Nextcloud 用のデスクトップ同期クライアントです。攻撃者は、通知の Desktop Client アプリケーションに任意の HyperText Markup Language を挿入する可能性があります。Nextcloud Desktop Client を 3.6.1 にアップグレードすることが推奨されます。この問題についての既知の回避策はありません。
    (CVE-2022-39331)

  - Nexcloud デスクトップは、Nextcloud 用のデスクトップ同期クライアントです。攻撃者は、ユーザーのステータスや情報を介して、Desktop Client アプリケーションに任意の HyperText Markup Language を挿入する可能性があります。Nextcloud Desktop Client を 3.6.1 にアップグレードすることが推奨されます。この問題についての既知の回避策はありません。
    (CVE-2022-39332)

  - Nexcloud デスクトップは、Nextcloud 用のデスクトップ同期クライアントです。攻撃者は、Desktop Client アプリケーションに任意の HyperText Markup Language を挿入する可能性があります。Nextcloud Desktop Client を 3.6.1 にアップグレードすることが推奨されます。この問題についての既知の回避策はありません。(CVE-2022-39333)

  - Nextcloud は、nextcloudcmd と呼ばれる CLI ユーティリティも出荷しており、これは、自動化されたスクリプティングやヘッドレスサーバーに使用されることがあります。3.6.1 より前のバージョンの nextcloudcmd は、無効な TLS 証明書を誤って信頼するため、機密データまたは認証情報をネットワーク攻撃者に漏洩する中間者攻撃が可能になる可能性があります。これは CLI にのみ影響します。標準の GUI デスクトップ Nextcloud クライアントには影響せず、Nextcloud サーバーにも影響を与えません。(CVE-2022-39334)

  - Nextcloud Desktop Client は、Nextcloud Server のファイルをあなたのコンピューターと同期するためのツールです。
    3.6.3 より前のバージョンには、デスクトップクライアントの UI の「strong」、「em」、「head」行などの基本的な HTML 要素に使用される qml ラベルのサニタイズが欠如しています。サニタイズの欠如により、javascript の注入が可能になる場合があります。Nextcloud Desktop Client を 3.6.3 にアップグレードすることが推奨されます。この問題についての既知の回避策はありません。(CVE-2023-23942)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

openSUSE 15 セキュリティ更新: nextcloud-desktop (openSUSE-SU-2023:0090-1)

medium Nessus プラグイン ID 174256

バージョン 1.0