CVE-2024-52521lowCWE-328

CVE-2024-52521: fallo de gravedad baja en nextcloud security-advisories

Nextcloud Server has a potential hash collision for background jobs could skip queuing them

Publicada el

Seguir esta CVE+ Monitorear security-advisories

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 2.6epss 0.4%
En resumen

Nextcloud Server usaba hash MD5 débil para identificar tareas de fondo, lo que podía causar que jobs duplicadas fueran incorrectamente omitidas y nunca se ejecutaran. Actualizar a una versión parcheada resuelve esto usando hash SHA256 más fuerte.

Detalle técnico

Las colisiones de hash MD5 en la verificación de unicidad de jobs de fondo (CWE-328: Hash Débil) permitían que jobs con argumentos diferentes fueran falsamente identificadas como duplicatas y excluidas de la cola de ejecución. El cambio a SHA256 reduce significativamente la probabilidad de colisión y asegura el agendamiento adecuado.

Resumen generado y traducido por IA a partir de la descripción oficial.
Nextcloud Server is a self hosted personal cloud system. MD5 hashes were used to check background jobs for their uniqueness. This increased the chances of a background job with arguments falsely being identified as already existing and not be queued for execution. By changing the Hash to SHA256 the probability was heavily decreased. It is recommended that the Nextcloud Server is upgraded to 28.0.10, 29.0.7 or 30.0.0.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N
Productos afectados
nextcloud · security-advisories
CVEs relacionadas — nextcloud security-advisories

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-24838MEDIUMCommand Injection in Appointment Emails for Nextcloud CalendarEPSS 33.0%CVE-2023-26482CRITICALScope of workflow operations is not validated in nextcloud serverEPSS 4.2%CVE-2021-32802CRITICALPreview generation used third-party library not suited for user-generated content in Nextcloud serverEPSS 2.6%CVE-2022-31014MEDIUMSMTP Command Injection in iCalendar Attachments to emails via newlines in Nextcloud ServerEPSS 2.5%CVE-2021-32688HIGHApplication specific tokens can change their own scopeEPSS 2.3%CVE-2021-37628HIGHFile Drop can be bypassed using Richdocuments app in nextcloudEPSS 2.1%