Collabora Online – Built-in CODE Server

Betroffen ist der integrierte CODE-Server von Collabora Online, der als Anwendung innerhalb der Nextcloud-Plattform betrieben wird und dort die Online-Bearbeitung von Dokumenten ermöglicht. In einem Proxy-Skript dieser Anwendung werden Eingaben unzureichend geprüft, sodass sich Betriebssystembefehle einschleusen lassen. Ausnutzbar ist der Fehler genau dann, wenn der CODE-Server gerade nicht läuft – etwa unmittelbar nach einem Neustart des Systems. In dieser Situation kann ein Angreifer aus der Ferne eigene Befehle auf dem Server ausführen und damit beliebigen Code einschleusen, was in der Praxis die Kontrolle über den betroffenen Server und den Zugriff auf die dort gespeicherten Dokumente und Daten bedeuten kann. Die Lücke wurde bereits aktiv für Angriffe genutzt. Nicht betroffen sind eigenständig betriebene Collabora-Online-Server; ausschließlich die Variante mit eingebautem CODE-Server innerhalb von Nextcloud ist anfällig.