CVE-2024-52521lowCWE-328

CVE-2024-52521: falha de baixa gravidade em nextcloud security-advisories

Nextcloud Server has a potential hash collision for background jobs could skip queuing them

Publicada em

Seguir esta CVE+ Monitorar security-advisories

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 2.6epss 0.4%
Em resumo

O Nextcloud Server usava hash MD5 fraco para identificar tarefas em segundo plano, o que podia fazer com que jobs duplicadas fossem incorretamente puladas e nunca executadas. Atualizar para uma versão corrigida resolve isso usando hash SHA256 mais forte.

Detalhe técnico

Colisões de hash MD5 na verificação de unicidade de jobs em segundo plano (CWE-328: Hash Fraco) permitiam que jobs com argumentos diferentes fossem falsamente identificadas como duplicatas e excluídas da fila de execução. A troca para SHA256 reduz significativamente a probabilidade de colisão e garante agendamento adequado.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Nextcloud Server is a self hosted personal cloud system. MD5 hashes were used to check background jobs for their uniqueness. This increased the chances of a background job with arguments falsely being identified as already existing and not be queued for execution. By changing the Hash to SHA256 the probability was heavily decreased. It is recommended that the Nextcloud Server is upgraded to 28.0.10, 29.0.7 or 30.0.0.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N
Produtos afetados
nextcloud · security-advisories
CVEs relacionadas — nextcloud security-advisories

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24838MEDIUMCommand Injection in Appointment Emails for Nextcloud CalendarEPSS 33.0%CVE-2023-26482CRITICALScope of workflow operations is not validated in nextcloud serverEPSS 4.2%CVE-2021-32802CRITICALPreview generation used third-party library not suited for user-generated content in Nextcloud serverEPSS 2.6%CVE-2022-31014MEDIUMSMTP Command Injection in iCalendar Attachments to emails via newlines in Nextcloud ServerEPSS 2.5%CVE-2021-32688HIGHApplication specific tokens can change their own scopeEPSS 2.3%CVE-2021-37628HIGHFile Drop can be bypassed using Richdocuments app in nextcloudEPSS 2.1%