Nextcloud sotto attacco: web shell senza login via Collabora CODE, server a rischio durante i riavvii

Una vulnerabilità critica ha colpito diversi server Nextcloud sfruttando una app opzionale molto diffusa in piccoli ambienti di collaborazione documentale. Il problema riguarda Collabora Online Built in CODE Server, pacchetto richdocumentscode, che scarica e avvia una copia di Collabora Online Development Edition direttamente sul server Nextcloud per modificare documenti senza un server Collabora separato.

Proprio questa modalità di esecuzione locale ha aperto la strada a un attacco con web shell, cioè un file PHP minimo capace di eseguire comandi remoti tramite richieste web con i privilegi dell’account del web server.

Il difetto di sicurezza permette l’esecuzione di comandi senza autenticazione ma solo in una condizione specifica e pericolosa: quando il document server locale non è in esecuzione, ad esempio durante un riavvio, un aggiornamento, un crash o il restart di un container. In queste finestre temporali lo script proxy.php tenta di avviare il servizio CODE e costruisce un comando bash includendo testo proveniente dalla richiesta. Nelle versioni fino alla 26.4.302, alcuni dati della richiesta finiscono in una stringa tra doppi apici e questo consente l’espansione di costrutti come $(), trasformando parte del percorso in una command injection.

Gli attaccanti hanno usato richieste mirate a proxy.php (status) con payload nascosti nel path per decodificare e scrivere una web shell nella cartella dell’app, poi hanno provato a inviare informazioni del sistema verso un endpoint remoto e a cercare archivi di credenziali e wallet di criptovalute, con nomi e file tipici come kdbx, wallet.dat e keystore.json. Anche se non sempre emergono prove di esfiltrazione, tutto ciò che il web server poteva leggere va considerato potenzialmente esposto.

La correzione è stata rilasciata nella versione 26.4.303 e disabilitare l’app non è sufficiente: serve aggiornare o rimuovere. Un punto critico per la sicurezza è che le versioni aggiornate richiedono Nextcloud 30 o superiore, mentre Nextcloud 29 e precedenti sono fuori supporto. In pratica molte installazioni datate devono scegliere tra upgrade della piattaforma o rimozione della componente vulnerabile.

Per la bonifica è importante:

• Cercare file sospetti come shx.php nella directory apps/richdocumentscode.
• Controllare i log a partire almeno da inizio settembre per richieste contenenti marker come %2e%2e, $() o IFS.
• Verificare eventuali tentativi sudo attribuibili all’account del web server.