abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  nextcloud-calendar-sharee-publish

nextcloud-calendar-sharee-publish

Nextcloud Server 35.0.0 - Nextcloud GmbH

CalDAV PublishPlugin يتحقق فقط من {DAV:}write. إعداد حد المالك limitAddressBookAndCalendarSharingToOwner افتراضيًا no. زميل منحته صلاحية التعديل على تقويم يمكنه نشره. أي شخص يملك الرابط السري يقرأ أحداثك غير الخاصة (non-PRIVATE) دون تسجيل دخول.

يمكن لجهة خبيثة تملك صلاحية التعديل على تقويمك تحويله إلى رابط عام. أي شخص يملك ذلك الرابط يمكنه قراءة اجتماعاتك والحاضرين فيها دون تسجيل دخول.

ID	لا يوجد CVE بعد
CWE	CWE-284, CWE-862
CVSS	High: 6.5 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Product	Nextcloud Server
Affected	35.0.0 (da02f41) official nextcloud:35.0.0-apache
Auth	write-sharee، ثم قراءة عامة دون مصادقة
License	GNU Affero GPL v3.0
Lab	127.0.0.1 فقط

---

ما يمكن للمهاجم فعله

تشارك تقويمًا مع زميل بصلاحية can edit. ذلك الزميل يرسل publish-calendar. فيُنشئ Nextcloud رابط تقويم عام.

ثم:

• أي شخص يملك الرابط (دون تسجيل دخول) يمكنه قراءة أحداثك
• يرى العناوين والأوقات والحاضرين (الكائنات غير PRIVATE)
• لا يمكنهم انتحال شخصيتك، ولا يمكنهم نشر دفتر عناوين بهذه الطريقة
• المشارك بصلاحية view-only لا يمكنه فعل ذلك؛ صلاحية edit كافية

إعادة مشاركة التقويم ممنوعة. النشر ليس كذلك. إعداد حد المالك موجود ومعطّل افتراضيًا.

---

كيف اكتشفته

PublishPlugin يتحقق من {DAV:}write، ثم من dav / limitAddressBookAndCalendarSharingToOwner، الذي يكون افتراضيًا no. Calendar::updateShares يمنع إعادة المشاركة عندما يكون isShared(). النشر فعل مختلف. صلاحية الكتابة (Write ACL) لا تزال تمنح {DAV:}write للمشارك بصلاحية التعديل.

قمت بتشغيل nextcloud:35.0.0-apache الرسمي. تقويم المالك labcal مع حدث غير PRIVATE بملخص NEXTCLOUD-CAL-SHAREE-PUBLISH-WITNESS.

أرسلت أولًا MKCALENDAR. رد Sabre بـ 405 MethodNotAllowed. أرسلت VEVENT عبر PUT على أي حال. 201. كان التقويم موجودًا. فعل إنشاء المجموعة كان الباب الخطأ، لا المنزل الخطأ.

تمت المشاركة بصلاحية قراءة-كتابة إلى sharee. أرسل المشارك POST CS:publish-calendar وأعاد 202. احتوى PROPFIND غير المصادق على الرابط العام على الشاهد.

---

المختبر

cd lab
./run.sh

استهدف فقط http://127.0.0.1:18344.

SUCCESS NEXTCLOUD-CAL-SHAREE-PUBLISH who=write-sharee unauth-read=yes NEXTCLOUD-CAL-SHAREE-PUBLISH-WITNESS

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh

---

الإصلاح

اشترط أن يكون المنشئ هو المالك، أو فعّل حد المالك افتراضيًا مع الاستمرار في منع النشر للتقويمات التي isShared(). إعادة المشاركة ممنوعة بالفعل. يجب أن يتبع النشر نفس القاعدة.

---

المراجع

• github.com/nextcloud/server tag v35.0.0
• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

---

الترخيص

GNU Affero GPL v3.0. راجع LICENSE. مختبر loopback فقط. دون أي ضمان.