Nextcloud ist für viele kleine Betriebe die eigene Cloud: Dateien, Kalender und Kontakte auf einem Server, den man selbst kontrolliert, statt bei Microsoft oder Google. Wer darin auch Word- und Excel-Dateien bearbeiten will, braucht einen Office-Server. Den einfachsten Weg bietet eine App namens «Collabora Online – Built-in CODE Server». Sie startet den Office-Server direkt in Nextcloud, ohne zusätzliche Maschine. Genau in dieser App steckte eine Lücke, über die Fremde ohne jede Anmeldung Befehle auf dem Server ausführen konnten.
Was die Lücke ist
Die App leitet Anfragen an den eingebauten Office-Server weiter. Läuft dieser Server gerade nicht, etwa nach einem Neustart, einem Update oder einem Absturz, versucht die App ihn zu starten. Dabei liess sich ein eigener Befehl einschleusen. Die Lücke wird mit 9,2 von 10 bewertet.
Angreifer haben darüber kleine Hintertüren auf den Servern abgelegt und damit nach Passwortdatenbanken, Dateien von Passwortmanagern und Kryptowährungs-Wallets gesucht. Seit dem 23. Oktober führt die US-Behörde für Cybersicherheit CISA die Lücke in ihrer Liste der nachweislich ausgenutzten Lücken.
Die Reihenfolge ist das Problem
Interessant ist der Ablauf, den Betroffene auf GitHub dokumentiert haben:
10. September: In den Protokollen eines Administrators taucht der erste Angriff auf.
11. September: Version 26.4.303 der App erscheint und behebt den Fehler. In den Versionshinweisen steht kein Wort über Sicherheit. Ein Nutzer weist Ende September darauf hin, dass er dort keinen Hinweis findet.
14. Oktober: Die offizielle Sicherheitsmeldung wird veröffentlicht.
Zwischen der Korrektur und der Warnung lagen fünf Wochen, und in dieser Zeit wurde angegriffen. Wer Updates einspielt, sobald sie erscheinen, war einen Tag lang offen. Wer wartet, bis eine Warnung kommt, war es fünf Wochen. Das ist der eigentliche Punkt dieses Falls: Nicht jede Korrektur sagt, dass sie eine ist. Ein Update, das nach Kleinkram aussieht, kann das wichtigste des Monats sein.
Abschalten reicht nicht
Wer die App nicht braucht und sie deshalb deaktiviert hat, ist nicht geschützt. Der Hersteller schreibt ausdrücklich, dass Deaktivieren nicht genügt: Die App muss aktualisiert oder entfernt werden. Ein Administrator hat Mitte September einen Angriff über die App gemeldet, die bei ihm bereits ausgeschaltet war. Wir haben am Dienstag beschrieben, warum abgeschaltet nicht entfernt ist. Hier ist der Fall dazu.
Wer nicht betroffen ist
Betroffen ist nur diese eine App mit dem eingebauten Office-Server. Wer Collabora als eigenen Server betreibt, als Docker-Container, über Nextcloud All-in-One oder bei einem Anbieter gemietet, ist laut Collabora nicht betroffen. Ebenso wenig, wer Nextcloud ganz ohne Office-Funktion nutzt.
Was jetzt zu tun ist
Nachsehen, ob die App installiert ist. In Nextcloud als Administrator unter «Apps», «Aktive Apps» und «Deaktivierte Apps». Steht dort «Collabora Online – Built-in CODE Server», muss die Version 26.4.303 oder neuer sein. Aktuell ist 26.4.502.
Wird sie nicht gebraucht, entfernen. Nicht nur deaktivieren.
Ältere Nextcloud zuerst aktualisieren. Die korrigierte App läuft nur auf Nextcloud 30 und neuer. Wer noch Nextcloud 29 oder älter betreibt, bekommt die Korrektur gar nicht, und das ist der eigentliche Befund.
Nach Spuren suchen. Betroffene haben im Ordner der App, apps/richdocumentscode, unbekannte PHP-Dateien gefunden, deren Namen mit shx oder shrf beginnen. In den Zugriffsprotokollen fallen Aufrufe von proxy.php?status seit dem 10. September auf. Wer so etwas findet, sollte davon ausgehen, dass der Server kompromittiert ist. Dann reicht das Update nicht mehr: Passwörter ändern, auch das der Datenbank, und prüfen, welche Dateien auf dem Server lagen.
Beim Dienstleister nachfragen. Wer Nextcloud von einem IT-Partner betreiben lässt, fragt am besten direkt: Ist bei uns der eingebaute Office-Server installiert, und in welcher Version? Und wird bei uns auch das aktualisiert, was ohne Sicherheitswarnung erscheint?