Nextcloud : une vulnérabilité d'exécution de code rappelle ce qu'exige le cloud auto-hébergé

Faits, analyse et incertitudes

L'essentiel du bulletin

Pourquoi un aperçu de fichier est une opération sensible

Afficher la vignette d'un document paraît anodin. Techniquement, c'est l'opération la plus délicate d'un service de partage de fichiers : elle consiste à faire analyser par le serveur un fichier dont le contenu a été fourni par un tiers, dans un format complexe, par une bibliothèque écrite pour la performance plutôt que pour la défiance.

Nextcloud délègue ce travail à des fournisseurs d'aperçus. Certains formats simples sont traités en interne, d'autres s'appuient sur des outils externes : LibreOffice pour les documents bureautiques, ffmpeg pour la vidéo, ImageMagick pour une série de formats d'image. La documentation de Nextcloud décrit explicitement ces dépendances dans le paramètre enabledPreviewProviders.

Un fichier déposé par un utilisateur devient donc une entrée non maîtrisée traitée par un composant tiers, avec les droits du serveur web. C'est la définition même d'une frontière de confiance : de part et d'autre, deux niveaux de garantie différents, et une donnée qui traverse.

Qui peut réellement exploiter cette vulnérabilité

Deux conditions sont posées par l'éditeur, et elles ne pèsent pas le même poids selon les instances.

• Un accès en écriture : compte utilisateur, ou lien de partage permettant le dépôt de fichiers. Sur une instance interne à une organisation, cela limite le champ aux comptes existants. Sur une instance qui publie des liens de dépôt vers l'extérieur, cela l'élargit nettement
• Un fournisseur d'aperçus concerné activé : HEIC, Illustrator, PDF, Photoshop, Postscript, SGI, TGA ou TIFF. Aucun n'est actif par défaut, mais plusieurs sont activés couramment, en particulier l'aperçu PDF

Le cas le plus défavorable est donc une instance qui expose des liens de dépôt publics et qui a activé l'aperçu PDF pour le confort des utilisateurs. Ce n'est pas une configuration exotique, c'est une configuration confortable. C'est précisément ce qui rend ce type de vulnérabilité intéressant à étudier : elle ne sanctionne pas une faute d'administration, elle sanctionne un arbitrage ordinaire entre confort et surface d'attaque.

Mesures immédiates

1. Identifier la version exacte de l'instance

   Branche et niveau de correctif, pas seulement la branche majeure. La distinction entre 33.0.6 et 33.0.7 est ici ce qui compte.

2. Vérifier la configuration des aperçus

   Dans config/config.php, examiner enable_previews et la liste enabledPreviewProviders, puis déterminer si l'un des fournisseurs cités par le bulletin y figure.

3. Mettre à jour Nextcloud, puis la couche système

   Appliquer le correctif de l'éditeur, et vérifier séparément les versions d'ImageMagick et de l'extension Imagick installées, notamment dans les déploiements en conteneur où l'image de base n'est pas reconstruite automatiquement.

4. Si la mise à jour doit attendre, appliquer un contournement documenté

   Les trois contournements publiés sont de portée décroissante : désinstaller imagick de PHP, désactiver entièrement les aperçus, ou retirer de la configuration les seuls fournisseurs concernés.

<?php
$CONFIG = array (
  // Désactive entièrement la génération d'aperçus.
  'enable_previews' => false,
);

Auto-hébergement : le contrôle a un prix opérationnel

Il serait facile, et faux, de conclure de cet épisode que l'hébergement d'un service de partage de fichiers chez soi est une mauvaise idée. L'auto-hébergement apporte ce qu'aucun contrat n'apporte : la maîtrise de l'emplacement des données, des durées de rétention, des accès administratifs et des conditions de sortie. Il exige en contrepartie une discipline qui ne se délègue pas.

• Suivre les bulletins de l'éditeur

  Nextcloud publie ses avis dans un dépôt public. S'y abonner et les traiter au fil de l'eau coûte quelques minutes par semaine ; ne pas le faire revient à découvrir les vulnérabilités par la presse, avec plusieurs jours de retard.

• Mettre à jour la pile complète

  Le serveur web, PHP et ses extensions, les bibliothèques de traitement d'image, la base de données et le système d'exploitation. Un service auto-hébergé n'est pas une application, c'est une pile.

• Réduire l'exposition

  Reverse proxy devant l'application, HTTPS et HSTS, en-têtes de sécurité, restriction des actions d'administration par plage d'adresses. La documentation de durcissement de Nextcloud décrit ces mesures une par une.

• Renforcer l'authentification

  Authentification multifacteur sur les comptes, et en priorité sur les comptes d'administration. La condition d'exploitation décrite ici commence par un accès : ce qui rend l'obtention d'un compte plus difficile réduit directement le risque.

• Appliquer le moindre privilège

  Les liens de partage en écriture sont utiles et doivent rester l'exception documentée, avec une date d'expiration. Un lien de dépôt public ouvert sans limite de durée est un point d'entrée permanent.

• Journaliser et sauvegarder ailleurs

  Des journaux conservés hors de la machine, et des sauvegardes testées en restauration. Une vulnérabilité permettant l'écriture de fichiers arbitraires se traite, après coup, avec des traces et une copie saine.