BSI-Analyse von Nextcloud

Quote from LinuxDaiv

BSI-Analyse von Nextcloud: Zwei-Faktor-Authentifizierung war angreifbar

Eine Codeanalyse des BSI förderte Schwachstellen in Nextcloud Server zutage. Unter anderem ließ sich die Zwei-Faktor-Authentifizierung umgehen.

Das Münchener Unternehmen MGM Security Partners hat die Serveranwendung des Cloudanbieters Nextcloud analysiert und mehrere Schwachstellen gefunden. Angreifer konnten etwa die Zwei-Faktor-Authentifizierung umgehen. Die Untersuchung erfolgte im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) als Teil des Projektes zur Codeanalyse von Open-Source-Software (CAOS 3.0). Nextcloud wies der Untersuchung zufolge 16 Sicherheitslücken mit hohem Gefahrenpotenzial auf. Die Entwickler haben bereits auf die Schwachstellen reagiert.

BSI-Analyse von Nextcloud

Der Lacher ist von wann der Bericht ist.
Projekt 604 – Codeanalyse für Opensource Software (CAOS3) Analyseergebnisse Arbeitspaket 2: „Nextcloud“ 19.07.2024, Version 1.0, Status: Final
Und damit geht man dann 7 Monate später an die Öffentlichkeit.

Was ist dass schon wieder für ein sinnloses Bashing?

Euch ist wohl nicht bewusst dass wenn man Fehler findet, dem Hersteller immer eine Zeitspanne eingeräumt wird um den Fehler zu fixen bevor man diesen öffentlich macht.

Die ct von Heise war früher mal ein gutes Tech Magazin. Früher, vor vielen Jahren, hab ich auch regelmäßig die heise News gelesen.

Man kann sich auch ct uplink, jeden Donnerstag auf youtube, angucken. Das geht.

Nextcloud ist vermutlich eine ernste Konkurrenz auf dem Markt geworden.

Quote from LinuxDaiv

Alles hat ein Sinn, sinnloses gibt es nicht.

Da bin ich ja dann man gespannt.

Quote from LinuxDaiv

eine Zsp von 7 Monate für ein Projekt was Nextcloud heißt is eindeutig zu lang

Eine was?

Dir wäre es also lieber gewesen sie hätten die Fehler einfach nach 3 Monaten veröffentlicht und somit Tausende nextcloud Instanzen angreifbar gemacht.

Du weißt ja so richtig wie dass alles läuft mit Updates und so. Den Anteil Angreifbare Versionen erst Mal zu minimieren, besonders bei Hostimg Diensten usw

So weit wie ich gelesen habe hat NC auf die Erkenntnisse umgehend reagiert und arbeitet gemeinsam mit BSI an Lösungen.

Ich finde es gut wenn Sicherheitslücken entdeckt werden bevor es Kriminelle tun. Vertrauen schafft es auch wenn auf die Erkenntnisse reagiert wird und Lösungen gesucht werden.

Quote from nicoletta

Ich finde es gut wenn Sicherheitslücken entdeckt werden bevor es Kriminelle tun.

Oder die ärgern sich gerade, dass "ihre" Lücke nun entdeckt und geschlossen wurde.

Ok, also jetzt hat sich bei heise auch der Geschäftsführer dazu gemeldet. Was nun tatsächlich der Wahrheit entspricht und ob die tatsächlichen Fehler behoben wurden, dass werden wir wohl nicht erfahren.

heise online

www.heise.de