Nextcloud Server: Persistente Denial of Service durch Injection in föderierte Freigaben
Zusammenfassung
Nextcloud Server in den Versionen 22.0.0 bis 34.0.0 erlaubt es einem nicht authentifizierten Angreifer aus dem Netzwerk, über den Endpunkt für föderierte Freigaben beliebige Zeilen in die Datenbanktabelle oc_share_external zu schreiben. Diese Zeilen bleiben unbegrenzt bestehen, da keine automatische Bereinigung erfolgt, und lösen so drei Denial-of-Service-Zustände im 24-Stunden-Zyklus aus, solange sie vorhanden sind. Betroffen ist nur die Verfügbarkeit; die Instanz muss den Endpunkt für föderierte Freigaben für den Angreifer erreichbar machen.
Betroffen
- Nextcloud Server 22.0.0 bis 34.0.0 (gemäss Angaben der CNA)
- Standardkonfiguration: nicht betroffen (gemäss Angaben der CNA)
- Genaue Auslösebedingungen: Unbekannt.
Behoben in
Unbekannt. Die erste gepatchte Version je unterstütztem Zweig steht in der Advisory GHSA-5572-968j-v7g5.
Umgehung
- Vom Hersteller dokumentierte Workaround wurde nicht gefunden.
- Zugriff auf den Endpunkt für föderierte Freigaben einschränken, z. B. durch Begrenzung der Föderation oder einen Reverse Proxy mit Zugriffskontrollen. Wirksamkeit: Unbekannt.
- Manuelle Bereinigung unerwarteter oder alter Einträge in oc_share_external ist möglich, aber keine verifizierte Lösung. Vorher ein Datenbank-Backup erstellen.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
- CISA KEV: Nicht gelistet.
- Öffentlicher Exploit: In der Recherche keiner gefunden, nicht abschliessend.
- EPSS: 0.32 % (Perzentil 25).
Unsere Empfehlung
- Prüfen, ob die Instanz aus dem Internet erreichbar ist und ob föderierte Freigaben aktiviert sind.
- Advisory GHSA-5572-968j-v7g5 prüfen und sobald verfügbar auf die erste korrigierte Version aktualisieren.
- oc_share_external auf unerwartete oder alte Einträge prüfen und diese nach einem Datenbank-Backup entfernen, da die Zeilen wiederkehrende Störungen verursachen.
- Föderation bzw. den Endpunkt für föderierte Freigaben bis zum Patch einschränken.
- Auf wiederkehrende Dienstunterbrüche alle 24 Stunden achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- HackerOne report 3679640 hackerone.com
- Nextcloud security advisories (GitHub) github.com
- Nextcloud help: remove federated cloud share folder help.nextcloud.com
- SecurityFocus CVE-2026-77167 www.securityfocus.com
- VulDB 427432 vuldb.com
- Strix CVE-2026-77167 www.strix.ai
- threatint CVE-2026-77167 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 11:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.