Faille Nextcloud : des pirates piègent les serveurs via Collabora
Une faille Nextcloud dans l'application Collabora CODE permet à des pirates de déposer des web shells sur les serveurs.
Une faille Nextcloud est activement exploitée par des attaquants. Elle touche une application optionnelle, Collabora Online – Built-in CODE Server. Grâce à elle, les pirates déposent des web shells sur les serveurs vulnérables. Ils obtiennent ainsi une porte dérobée durable sur l’instance compromise.
Trois administrateurs ont signalé le problème sur GitHub. La première attaque consignée remonte au 10 septembre. Par conséquent, les équipes qui hébergent leur propre Nextcloud doivent vérifier leurs systèmes sans attendre.
Ce que l’on sait de l’attaque
Le point d’entrée n’est pas le cœur de Nextcloud. Il s’agit en effet de l’application Collabora Online – Built-in CODE Server. Elle embarque un serveur de suite bureautique directement dans l’instance. Cette application est optionnelle. Seules les installations qui l’ont activée sont donc concernées.
Les signalements proviennent de trois administrateurs. Ils ont décrit les faits sur GitHub après avoir découvert des fichiers suspects sur leurs serveurs. Le premier cas journalisé date du 10 septembre. Ainsi, cette date sert de repère utile pour l’analyse des journaux.
À ce stade, les informations disponibles ne mentionnent aucun identifiant CVE. Elles ne précisent pas non plus de version corrigée. Il convient donc de suivre de près les avis officiels de Nextcloud et de Collabora.
Pourquoi un web shell est si dangereux
Un web shell est un petit fichier déposé sur un serveur web. Il exécute n’importe quelle commande envoyée par une requête web. De plus, ces commandes s’exécutent avec les droits du compte du serveur web.
En pratique, l’attaquant n’a plus besoin de la faille initiale une fois le fichier en place. Il lui suffit d’appeler l’adresse du web shell. Autrement dit, la porte reste ouverte même si la vulnérabilité d’origine est corrigée plus tard.
Avec ces droits, un intrus peut notamment :
- lire les fichiers stockés sur l’instance ;
- récupérer les fichiers de configuration et leurs secrets ;
- modifier ou supprimer des données ;
- lancer d’autres outils depuis le serveur ;
- rebondir vers d’autres machines du réseau interne.
Or Nextcloud sert souvent à centraliser des documents sensibles. Un tel accès est donc particulièrement préoccupant. Il concerne les entreprises, les collectivités et les particuliers qui s’auto-hébergent.
Les risques de cette faille Nextcloud pour les administrateurs
Le premier risque est la fuite de données. Un web shell donne accès à tout ce que le compte web peut lire. Cela inclut les fichiers des utilisateurs. Cela inclut également les identifiants de base de données présents dans la configuration.
Le deuxième risque est la persistance. Les attaquants peuvent déposer plusieurs fichiers, parfois sous des noms banals. Par ailleurs, une simple mise à jour ne supprime pas ces fichiers. Un serveur « patché » peut donc rester compromis.
Enfin, il existe un risque de propagation. Un serveur Nextcloud est souvent relié à un annuaire, à un stockage externe ou à d’autres services. Un intrus peut s’en servir comme tremplin. En outre, il peut exploiter la confiance accordée à cette machine.
Les instances exposées directement sur Internet sont les plus visibles. Toutefois, une instance interne peut aussi être atteinte. C’est le cas si l’attaquant accède au réseau d’une autre manière.
Recommandations pour se protéger
D’abord, déterminez si l’application Collabora Online – Built-in CODE Server est installée et activée. Si vous n’en avez pas l’usage, désactivez-la. Vous réduisez ainsi la surface d’attaque. En revanche, si vous l’utilisez, appliquez dès leur publication les mises à jour de l’application et de Nextcloud.
Ensuite, cherchez des traces de compromission. Voici quelques pistes :
- examinez les journaux du serveur web depuis le 10 septembre, voire avant par prudence ;
- repérez les requêtes inhabituelles vers l’application Collabora ;
- recherchez les fichiers PHP récents ou inattendus dans les répertoires de Nextcloud et de ses applications ;
- comparez l’arborescence avec une installation saine ;
- vérifiez les tâches planifiées et les comptes créés récemment.
Si vous trouvez un web shell, considérez le serveur comme compromis. Isolez-le du réseau. Conservez une copie des preuves pour l’analyse. Ensuite, restaurez depuis une sauvegarde antérieure à l’intrusion, ou réinstallez proprement.
Changez aussi tous les secrets accessibles depuis le serveur. Cela concerne les mots de passe de base de données, les clés d’API et les identifiants d’administration. Par ailleurs, invitez les utilisateurs à renouveler leur mot de passe.
Enfin, limitez les dégâts potentiels. Exécutez le serveur web avec des droits minimaux. Interdisez également l’exécution de scripts dans les dossiers de données. Placez l’instance derrière un pare-feu applicatif lorsque c’est possible.
Ce qu’il faut retenir
- Une application optionnelle de Nextcloud, Collabora Online – Built-in CODE Server, est exploitée pour installer des web shells.
- Trois administrateurs ont alerté sur GitHub, et la première attaque consignée date du 10 septembre.
- Un web shell exécute des commandes avec les droits du compte du serveur web.
- Corriger ne suffit pas : il faut aussi vérifier l’absence de fichiers malveillants.
- Désactivez l’application si elle est inutile, surveillez vos journaux et suivez les avis officiels.
Source : Hackers Backdoor Nextcloud Servers Through Critical Flaw in Collabora’s Built-in CODE App