Angripare utnyttjar en kommandeinjektionssårbarhet i Collabora Online - Built-in CODE Server, en valfri Nextcloud-app. Sårbarheten, som spåras som CVE-2026-110447, berör richdocumentscode-versioner före 26.4.303. Collabora uppger att fristående Collabora Online-servrar, Docker- och RPM/DEB-installationer samt Nextcloud All-in-One-distributioner inte påverkas.
Felet finns i hur appen startar den medföljande Collabora-servern. En skadlig begäran till appens slutpunkt proxy.php kan utlösa kommandeinjektion i operativsystemet. För att utnyttja felet måste den inbyggda CODE-servern vara stoppad, till exempel efter en omstart, uppgradering eller krasch. Varken autentisering eller användarinteraktion krävs.
Flera administratörsrapporter beskriver attacker som går tillbaka till den 10 september. Enligt rapporterna planterade angripare PHP-webbskal och sökte efter lösenordsdatabaser, spår av lösenordshanterare och kryptovalutaplånböcker. BleepingComputer kunde inte självständigt bekräfta uppgifter om att även ransomwareoperatörer utnyttjar sårbarheten.
Collabora skickade in en rättning den 9 september och släppte version 26.4.303 den 11 september. Säkerhetsmeddelandet och CVE-numret publicerades den 14 oktober. Nextcloud uppgav för BleepingComputer att Collabora rapporterade sårbarheten i mitten av september och att en uppdatering fanns tillgänglig i appbutiken. Nextcloud sade att företaget väntade med offentliggörandet för att ge användarna tid att uppdatera och eftersom det inte hade sett någon utbredd exploatering. Collabora hänförde främst förseningen till eftersläpningar i GitHubs CVE-hantering.
Administratörer rekommenderas att uppgradera till version 26.4.303 eller senare, eller ta bort appen om den inte behövs. Collabora varnade för att det inte räcker att inaktivera den.
Kommentarer
0Inga kommentarer ännu. Skriv den första.