Nextcloud Server и другие продукты Nextcloud уязвимы для отказа в обслуживании и раскрытия данных

Уязвимости в продуктах Nextcloud затрагивают серверную платформу и приложения Collectives, Richdocuments и Files Confidential. Вендор подтвердил проблемы и выпустил исправления. Самая значимая уязвимость позволяет вызвать устойчивый отказ в обслуживании без учётных данных. Остальные ведут к обходу политики безопасности и раскрытию информации.

Состав уведомлений, условия атаки и уровни риска

Все уведомления опубликованы 27 октября 2026 года и содержат исправленные сборки. Условия атаки вендор описывает по-разному: часть проблем доступна по сети без учётных данных, для Richdocuments нужно участие пользователя. Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлениях нет. Публикация технических деталей означает лишь, что они доступны, а не то, что проблемы уже используют.

Отказ в обслуживании через федеративные приглашения

Проблема CVE-2026-77167 связана с федеративным обменом - режимом, при котором разные установки Nextcloud делятся файлами друг с другом. Через конечную точку приёма федеративных приглашений злоумышленник записывает произвольные строки в служебную таблицу базы данных, где хранятся внешние приглашения. Автоматической очистки у этих записей нет, поэтому они остаются в базе бессрочно. Из такой записи следуют три разных условия отказа в обслуживании. Все они запускаются из одного источника без аутентификации и повторяются каждые 24 часа, пока записи лежат в базе.

Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Вендор относит проблему к уровню High по своей классификации и описывает её как неконтролируемый расход ресурсов. Оценку в числовом виде он не приводит.

Исправления вышли сборками 34.0.2, 33.0.7 и 32.0.13 для Nextcloud Server; для Nextcloud Enterprise - теми же 34.0.2, 33.0.7 и 32.0.13. Список сборок для прежних веток приведён в самом уведомлении. Обходная мера - отключить приём федеративных приглашений; она снижает риск, но не заменяет обновление.

Публичные ссылки после блокировки владельца

Вторая проблема касается публичных ссылок на файлы. Когда учётную запись владельца блокируют, его публичные ссылки корректно перестают работать на основном адресе, но остаются доступны через другие точки входа. Внешний получатель, у которого есть токен такой ссылки, продолжает читать файлы, а при праве редактирования - изменять их.

Доступ идёт по сети, аутентификация не нужна, участие пользователя не требуется. Вендор оценивает проблему уровнем Moderate и указывает на риск для конфиденциальности данных. Исправленные сборки для серверной части - 32.0.13, 33.0.7 и 34.0.2; в линейке Enterprise к ним добавляются 30.0.17.12 и 31.0.14.8. Временная мера - удалять заблокированных пользователей, а не оставлять их в списке.

Обход подтверждения пароля и меток конфиденциальности

Уязвимость в серверной части позволяет паролям приложений обходить подтверждение пароля на чувствительных страницах. Пароль приложения - это отдельный токен для клиента или программы, который действует вместо основного пароля учётной записи. Уровень Moderate, исправления вышли сборками 32.0.12, 33.0.6 и 34.0.1. Атака идёт по сети, нужны низкие привилегии, сложность высокая. Обходных мер вендор не приводит.

Вторая проблема затрагивает Files Confidential - приложение, которое помечает документы с конфиденциальными сведениями. Если в имени файла есть символ решётки, пометка не срабатывает: документ с номером банковской карты внутри остаётся без метки. Исправленные версии приложения - 3.3.1, 4.1.1 и 5.1.0. Временная мера: добавить символ решётки в список запрещённых символов имени файла и переименовать уже загруженные файлы.

Richdocuments и Collectives

В Richdocuments отсутствовала проверка типа токена. Из-за этого пользовательский или гостевой токен открывал больше сведений о настройках WOPI, чем положено. WOPI - протокол, по которому онлайн-редактор получает доступ к файлам Nextcloud. Уровень Low; атака идёт по сети, нужны низкие привилегии и участие пользователя. Исправления - 9.1.1, 10.2.1 и 11.0.1, обходная мера - отключить приложение.

В Collectives публично расшаренная коллекция всегда позволяла получателям ссылки создавать страницы. Уровень Low, исправление - версия 4.4.0. Обходных мер вендор не приводит.

Порядок действий

Обновление Nextcloud Server до сборки 34.0.2, 33.0.7 или 32.0.13 закрывает проблемы в серверной части; для Nextcloud Enterprise нужны те же сборки либо сборки с четырёхзначным суффиксом из уведомлений. Приложения обновляются отдельно: Collectives до 4.4.0, Richdocuments до 9.1.1, 10.2.1 или 11.0.1, Files Confidential до 3.3.1, 4.1.1 или 5.1.0. Номера сборок для остальных поддерживаемых веток перечислены в текстах уведомлений.

Если обновление отложено, остаются временные меры: отключить приём федеративных приглашений, удалять заблокированных пользователей вместо блокировки, отключить Richdocuments и ограничить набор символов в именах файлов. Для проблемы с паролями приложений и для Collectives обходных мер нет.

Значимость набора определяется первой проблемой. Она не требует учётных данных, не зависит от действий пользователя и оставляет след в базе, который сам не исчезает. Остальные уязвимости требуют токена, учётной записи или участия пользователя, поэтому их эффект уже.