Update to Nextcloud 18.0.9, fixes CVE-2020-81-39, CVE-2020-8173, CVE-2020-8183, CVE-2020-8223, CVE-2020-8154, CVE-2020-8155.

Updating the Mail & Groupfolders apps from within Nextcloud also fixes CVE-2020-8153, CVE-2020-8156

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for nextcloud fixes the following issues :

nextcloud version 20.0.0 fix some security issues :

  - NC-SA-2020-037 PIN for passwordless WebAuthm is asked     for but not verified

  - NC-SA-2020-033 (CVE-2020-8228) Missing rate limit on     signup page

  - NC-SA-2020-029 (CVE-2020-8233, boo#1177346) Re-Sharing     allows increase of privileges

  - NC-SA-2020-026 Passowrd of share by mail is not hashed     when given on the create share call

  - NC-SA-2020-023 Increase random used for encryption

  - Update to 19.0.3

  - Fix possible leaking scope in Flow (server#22410)

  - Combine body-login rules in theming and fix twofactor     and guest styling on bright colors (server#22427)

  - Show better quota warning for group folders and external     storage (server#22442)

  - Add php docs build script (server#22448)

  - Fix clicks on actions menu of non opaque file rows in     acceptance tests (server#22503)

  - Fix writing BLOBs to postgres with recent contacts     interaction (server#22515)

  - Set the mount id before calling storage wrapper     (server#22519)

  - Fix S3 error handling (server#22521)

  - Only disable zip64 if the size is known (server#22537)

  - Change free space calculation (server#22553)

  - Do not keep the part file if the forbidden exception has     no retry set (server#22560)

  - Fix app password updating out of bounds (server#22569)

  - Use the correct root to determinate the webroot for the     resource (server#22579)

  - Upgrade icewind/smb to 3.2.7 (server#22581)

  - Bump elliptic from 6.4.1 to 6.5.3 (notifications#732)

  - Fixes regression that prevented you from toggling the     encryption flag (privacy#489)

  - Match any non-whitespace character in filesystem pattern     (serverinfo#229)

  - Catch StorageNotAvailable exceptions (text#1001)

  - Harden read only check on public endpoints (text#1017)

  - Harden check when using token from memcache (text#1020)

  - Sessionid is an int (text#1029)

  - Only overwrite Ctrl-f when text is focussed (text#990)

  - Set the X-Requested-With header on dav requests     (viewer#582)

  - Update to 19.0.2

  - [stable19] lower minimum search length to 2 characters     (server#21782)

  - [stable19] Call openssl_pkey_export with $config and log     errors. (server#21804)

  - [stable19] Improve error reporting on sharing errors     (server#21806)

  - [stable19] Do not log RequestedRangeNotSatisfiable     exceptions in DAV (server#21840)

  - [stable19] Fix parsing of language code (server#21857)

  - [stable19] fix typo in revokeShare() (server#21876)

  - [stable19] Discourage webauthn user interaction     (server#21917)

  - [stable19] Encryption is ready if master key is enabled     (server#21935)

  - [stable19] Disable fragile comments tests (server#21939)

  - [stable19] Do not double encode the userid in webauthn     login (server#21953)

  - [stable19] update icewind/smb to 3.2.6 (server#21955)

  - [stable19] Respect default share permissions     (server#21967)

  - [stable19] allow admin to configure the max trashbin     size (server#21975)

  - [stable19] Fix risky test in twofactor_backupcodes     (server#21978)

  - [stable19] Fix PHPUnit deprecation warnings     (server#21981)

  - [stable19] fix moving files from external storage to     object store trashbin (server#21983)

  - [stable19] Ignore whitespace in sharing by mail     (server#21991)

  - [stable19] Properly fetch translation for remote wipe     confirmation dialog (server#22036)

  - [stable19] parse_url returns null in case a parameter is     not found (server#22044)

  - Bump elliptic from 6.5.2 to 6.5.3 (server#22050)

  - [stable19] Correctly remove usergroup shares on removing     group members (server#22053)

  - [stable19] Fix height to big for iPhone when using many     apps (server#22064)

  - [stable19] reset the cookie internally in new API when     abandoning paged results op (server#22069)

  - [stable19] Add Guzzle's InvalidArgumentException     (server#22070)

  - [stable19] contactsmanager shall limit number of results     early (server#22091)

  - [stable19] Fix browser freeze on long password input     (server#22094)

  - [stable19] Search also the email and displayname in user     mangement for groups (server#22118)

  - [stable19] Ensured large image is unloaded from memory     when generating previews (server#22121)

  - [stable19] fix display of remote users in incoming share     notifications (server#22131)

  - [stable19] Reuse cache for directory mtime/size if     filesystem changes can be ignored (server#22171)

  - [stable19] Remove unexpected argument (server#22178)

  - [stable19] Do not exit if available space cannot be     determined on file transfer (server#22181)

  - [stable19] Fix empty 'more' apps navigation after     installing an app (server#22183)

  - [stable19] Fix default log_rotate_size in     config.sample.php (server#22192)

  - [stable19] shortcut in reading nested group members when     IN_CHAIN is available (server#22203)

  - [stable19] Fix chmod on file descriptor (server#22208)

  - [stable19] Do clearstatcache() on rmdir (server#22209)

  - [stable19] SSE enhancement of file signature     (server#22210)

  - [stable19] remove logging message carrying no valuable     information (server#22215)

  - [stable19] Add app config option to disable 'Email was     changed by admin' activity (server#22232)

  - [stable19] Delete chunks if the move on an upload failed     (server#22239)

  - [stable19] Silence duplicate session warnings     (server#22247)

  - [3rdparty] Doctrine: Fix unquoted stmt fragments     backslash escaping (server#22252)

  - [stable19] Allow to disable share emails (server#22300)

  - [stable19] Show disabled user count in occ user:report     (server#22302)

  - Bump 3rdparty to last stable19 commit (server#22303)

  - [stable19] fixing a logged deprecation message     (server#22309)

  - [stable19] CalDAV: Add ability to limit sharing to owner     (server#22333)

  - [stable19] Only copy the link when updating a share or     no password was forced (server#22337)

  - [stable19] Remove encryption option for nextcloud     external storage (server#22341)

  - [stable19] l10n:Correct appid for WebAuthn     (server#22348)

  - [stable19] Properly search for users when limittogroups     is enabled (server#22355)

  - [stable19] SSE: make legacy format opt in (server#22381)

  - [stable19] Update the CRL (server#22387)

  - [stable19] Fix missing FN from federated contact     (server#22400)

  - [stable19] fix event icon sizes and text alignment     (server#22414)

  - [stable19] Bump stecman/symfony-console-completion from     0.8.0 to 0.11.0 (3rdparty#457)

  - [stable19] Add Guzzle's InvalidArgumentException     (3rdparty#474)

  - [stable19] Doctrine: Fix unquoted stmt fragments     backslash escaping (3rdparty#486)

  - [stable19] Fix cypress (viewer#545)

  - Move to webpack vue global config & bump deps     (viewer#558)

  - Update to 19.0.1

  - Security update Fix (CVE-2020-8183, NC-SA-2020-026,     CWE-256) A logic error in Nextcloud Server 19.0.0 caused     a plaintext storage of the share password when it was     given on the initial create API call.

  - Update to 19.0.0

  - Changes Nextcloud Hub v19, code name &ldquo;home     office&rdquo;, represents a big step forward for remote     collaboration in teams. This release brings document     collaboration to video chats, introduces password-less     login and improves performance. As this is a major     release, the changelog is too long to put here. Users     can look at github milestones to find what has been     merged. A quick overview of what is new :

  - password-less authentication and many other security     measures

  - Talk 9 with built-in office document editing courtesy of     Collabora, a grid view & more

  - MUCH improved performance, Deck integration in Calendar,     guest account groups and more!

This update for nextcloud to 18.0.4 fixes the following issues :

Security issues fixed :

  - CVE-2020-8154: Fixed an XSS vulnerability when opening     malicious PDFs (NC-SA-2020-018 boo#1171579).

  - CVE-2020-8155: Fixed a direct object reference     vulnerability that allowed attackers to remotely wipe     devices of other users (NC-SA-2020-019 boo#1171572).

nextcloudのこの更新プログラムでは、以下の問題が修正されています：

nextcloudバージョン20.0.0ではいくつかのセキュリティ問題が修正されます：

  - NC-SA-2020-037 パスワードなしのWebAuthmのPINが要求されますが、検証されません

  - NC-SA-2020-033（CVE-2020-8228）サインアップページにレート制限がありません

  - NC-SA-2020-029（CVE-2020-8233、boo#1177346）再共有により権限を強化することができます

  - NC-SA-2020-026 共有の作成呼び出しで指定されると、メールによる共有のパスワードがハッシュされません

  - NC-SA-2020-023 暗号化に使用されるランダム性が強化されます

  - 19.0.3への更新

  - フロー内のリークの可能性のあるスコープを修正します（server#22410）

  - body-loginルールをテーマで組み合わせ、明るい色の二要素とゲストスタイルを修正します（server#22427）

  - グループフォルダと外部ストレージのクォータ警告を改善しました（server#22442）

  - php docsビルドスクリプトを追加します（server#22448）

  - 受け入れテストで不透明でないファイル行のアクションメニューのクリックを修正します（server#22503）

  - recent contactsインタラクションでpostgresへのBLOBの書き込みを修正します（server#22515）

  - ストレージラッパーを呼び出す前に、マウントIDを設定します（server#22519）

  - S3エラー処理を修正します（server#22521）

  - サイズが判明している場合にのみzip64を無効にします（server#22537）

  - 空き領域計算を変更します（server#22553）

  - 禁止された例外に再試行が設定されていない場合、partファイルを保持しません（server#22560）

  - アプリパスワードの範囲外の更新を修正します（server#22569）

  - 適切なrootを使用して、リソースのwebrootを特定します（server#22579）

  - icewind/smbを3.2.7にアップグレードします（server#22581）

  - ellipticを6.4.1から6.5.3に更新します（notifications#732）

  - 暗号化フラグの切り替えを妨げていた回帰を修正します（privacy#489）

  - ファイルシステムパターンの空白以外の文字を一致させます（serverinfo#229）

  - StorageNotAvailableの例外をキャッチします（text#1001）

  - パブリックエンドポイントの読み取り専用チェックを強化します（text#1017）

  - memcacheからのトークンを使用する際のチェックを強化します（text#1020）

  - Sessionidはintです（text#1029）

  - テキストがフォーカスされている場合にのみCtrl-fを上書きします（text#990）

  - davリクエストにX-Requested-Withヘッダーを設定します（viewer#582）

  - 19.0.2への更新

  - [stable19]最小検索長を2文字に短縮します（server#21782）

  - [stable19] openssl_pkey_exportを$configで呼び出し、エラーをログに記録します。（server#21804）

  - [stable19]共有エラーに関するエラーレポートを改善します（server#21806）

  - [stable19] RequestedRangeNotSatisfiableの例外をDAVに記録しません（server#21840）

  - [stable19]言語コードの解析を修正します（server#21857）

  - [stable19] revokeShare()の誤字を修正します（server#21876）

  - [stable19] webauthnのユーザーインタラクションを阻止します（server#21917）

  - [stable19]マスターキーが有効化されている場合、暗号化の準備ができています（server#21935）

  - [stable19]脆弱なコメントテストを無効にします（server#21939）

  - [stable19] webauthnログインのユーザーIDを二重にエンコードしません（server#21953）

  - [stable19] icewind/smbを3.2.6に更新します（server#21955）

  - [stable19]デフォルトの共有権限を考慮します（server#21967）

  - [stable19]管理者がゴミ箱の最大サイズを構成できるようにします（server#21975）

  - [stable19] twofactor_backupcodesのリスクの高いテストを修正します（server#21978）

  - [stable19] PHPUnitの廃止の警告を修正します（server#21981）

  - [stable19]外部ストレージからオブジェクトストアのゴミ箱へのファイルの移動を修正します（server#21983）

  - [stable19]メールによる共有で空白を無視します（server#21991）

  - [stable19]リモートワイプ確認ダイアログの翻訳を適切にフェッチします（server#22036）

  - [stable19]パラメーターが見つからない場合、parse_urlはnullを返します（server#22044）

  - ellipticを6.5.2から6.5.3に更新します（server#22050）

  - [stable19]グループメンバーの削除時に、ユーザーグループの共有を適切に削除します（server#22053）

  - [stable19]多くのアプリを使用する場合、iPhoneでの高さを大きく修正します（server#22064）

  - [stable19]ページ化された結果opを破棄する際に、新しいAPIでcookieを内部的にリセットします（server#22069）

  - [stable19] GuzzleのInvalidArgumentExceptionを追加します（server#22070）

  - [stable19] contactsmanagerは、結果の数を早期に制限します（server#22091）

  - [stable19]長いパスワード入力でのブラウザのフリーズを修正します（server#22094）

  - [stable19]グループのユーザー管理でメールと表示名も検索します（server#22118）

  - [stable19]プレビュー生成時に大きな画像がメモリからアンロードされるようにしました（server#22121）

  - [stable19]受信共有通知でのリモートユーザーの表示を修正します（server#22131）

  - [stable19]ファイルシステムの変更を無視できる場合は、ディレクトリのmtime/サイズのためにキャッシュを再利用します（server#22171）

  - [stable19]予期しない引数を削除します（server#22178）

  - [stable19]ファイル転送で使用可能なスペースを特定できない場合は、終了しません（server#22181）

  - [stable19]アプリインストール後の空の「more」アプリナビゲーションを修正します（server#22183）

  - [stable19] config.sample.phpでデフォルトのlog_rotate_sizeを修正します（server#22192）

  - [stable19] IN_CHAINが利用可能な場合にネストされたグループメンバーの読み取りのショートカット（server#22203）

  - [stable19]ファイル記述子のchmodを修正します（server#22208）

  - [stable19] rmdirでclearstatcache()を実行します（server#22209）

  - [stable19]ファイル署名のSSE強化（server#22210）

  - [stable19]重要な情報を含まないロギングメッセージを削除します（server#22215）

  - [stable19]「電子メールは管理者によって変更されました」アクティビティを無効にするアプリ構成オプションを追加します（server#22232）

  - [stable19]アップロード上の移動が失敗した場合、チャンクを削除します（server#22239）

  - [stable19]重複セッションの警告を停止します（server#22247）

  - [サードパーティ] Doctrine：引用符で囲まれていないstmtフラグメントのバックスラッシュエスケープを修正します（server#22252）

  - [stable19]共有メールを無効にすることを許可します（server#22300）

  - [stable19]無効化されたユーザーカウントをoccユーザーに表示します：レポート（server#22302）

  - サードパーティを最後のstable19コミットに更新します（server#22303）

  - [stable19]ログに記録された廃止のメッセージを修正します（server#22309）

  - [stable19] CalDAV：共有を所有者に制限する機能を追加します（server#22333）

  - [stable19]共有の更新時、またはパスワードが強制されなかったときにのみリンクをコピーします（server#22337）

  - [stable19] nextcloud外部ストレージの暗号化オプションを削除します（server#22341）

  - [stable19] l10n：WebAuthnのappidを修正します（server#22348）

  - [stable19] limittogroupsが有効の場合、ユーザーを適切に検索します（server#22355）

  - [stable19] SSE：レガシーフォーマットをオプトインします（server#22381）

  - [stable19] CRLを更新します（server#22387）

  - [stable19]連携した連絡先から欠落しているFNを修正します（server#22400）

  - [stable19]イベントアイコンのサイズとテキストの配置を修正します（server#22414）

  - [stable19] stecman/symfony-console-completionを0.8.0から0.11.0に更新します（3rdparty#457）

  - [stable19] GuzzleのInvalidArgumentExceptionを追加します（3rdparty#474）

  - [stable19] Doctrine：引用符で囲まれていないstmtフラグメントのバックスラッシュエスケープを修正します（3rdparty#486）

  - [stable19] cypressを修正します（viewer#545）

  - webpack vueグローバル構成に移動し、depsを更新します（viewer#558）

  - 19.0.1への更新

  - セキュリティ更新修正（CVE-2020-8183、NC-SA-2020-026、CWE-256）Nextcloud Server 19.0.0の論理エラーにより、最初のcreate API呼び出しで与えられるときに、共有パスワードの平文保存が発生しました。

  - 19.0.0への更新

  - 変更 Nextcloud Hub v19（コードネーム「home office」）は、チームでのリモートコラボレーションに向けての大きな前進です。このリリースでは、ビデオチャットにドキュメントのコラボレーションがもたらされ、パスワードなしのログインが導入され、パフォーマンスが向上します。これはメジャーリリースであり、変更ログが長すぎるためここに記載することはできません。ユーザーはgithubマイルストーンを参照して、マージされた内容を見つけることができます。新機能の簡単な概要：

  - パスワードなしの認証および他の多くのセキュリティ対策

  - Collaboraの提供による組み込みのOfficeドキュメント編集、グリッドビューなどを備えたTalk 9

  - パフォーマンス、カレンダーへのDeckの統合、ゲストアカウントグループなどが大幅に改善されました。

このnextcloudの18.0.4への更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2020-8154：悪意のあるPDFを開く際のXSSの脆弱性を修正しました（NC-SA-2020-018 boo#1171579）。

  - CVE-2020-8155：攻撃者がリモートで他のユーザーのデバイスをワイプする可能性がある、直接オブジェクト参照の脆弱性を修正しました（NC-SA-2020-019 boo#1171572）。

Nextcloud 18.0.9に更新、CVE-2020-81-39、CVE-2020-8173、CVE-2020-8183、CVE-2020-8223、CVE-2020-8154、CVE-2020-8155の修正 

Nextcloud内からMail＆Groupfoldersアプリを更新すると、CVE-2020-8153、CVE-2020-8156も修正されます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
141550	Fedora 32 : nextcloud (2020-c9863904de)	Nessus	Fedora Local Security Checks	2020/10/20	2024/2/15	high
141387	openSUSE Security Update : nextcloud (openSUSE-2020-1652)	Nessus	SuSE Local Security Checks	2020/10/12	2024/2/15	high
136872	openSUSE Security Update : nextcloud (openSUSE-2020-670)	Nessus	SuSE Local Security Checks	2020/5/26	2024/3/8	medium
141387	openSUSEセキュリティ更新プログラム：nextcloud（openSUSE-2020-1652）	Nessus	SuSE Local Security Checks	2020/10/12	2024/2/15	high
136872	openSUSEセキュリティ更新プログラム：nextcloud（openSUSE-2020-670）	Nessus	SuSE Local Security Checks	2020/5/26	2024/3/8	medium
141550	Fedora 32：nextcloud（2020-c9863904de）	Nessus	Fedora Local Security Checks	2020/10/20	2024/2/15	high

检测

插件搜索

high

high

medium

high

medium

high