Tipp: Beschreibbare Nur-Lese-Links auf externem Speicher und in Team-Ordnern Nextcloud schließt Lücke in Nur-Lese-Freigaben

Anbieter zum Thema

Nextcloud GmbH

DataCore Software GmbH

Nextcloud dient vielen Unternehmen als selbst betriebene Dateiplattform. Eine Sicherheitslücke hebt bei Freigaben aus externem Speicher und aus Team-Ordnern die Beschränkung auf reines Lesen auf. Empfänger eines solchen Links können Dateien ändern und löschen, obwohl der Ersteller nur Leserechte vergeben hat.

Die Entwickler von Nextcloud stufen die Schwachstelle mit der Kennung CVE-2026-61527 als hoch ein und beziffern den CVSS-Wert auf 7.1. Betroffen sind der Nextcloud Server und der Enterprise Server in mehreren Zweigen. Ein Fehler in der Rechteprüfung greift bei Freigaben, deren Daten außerhalb des Heimatverzeichnisses des Nutzers liegen. Die eingebundenen externen Ablagen und die als Groupfolders bekannten Team-Ordner umgehen die für den Link gesetzte Lesebeschränkung.

Wie die Lücke wirkt

Ein Administrator bindet in Nextcloud fremde Ablagen wie S3-Buckets, SMB-Freigaben oder Cloud-Konten als externen Speicher ein. Auf Dateien in diesen Ablagen und in den Team-Ordnern legt ein Nutzer einen Freigabe-Link mit reiner Leseberechtigung an. Die Berechtigung greift im Fall der Lücke nicht – der Empfänger erhält vollen Schreibzugriff. Über einen solchen Link kann ein Außenstehender Inhalte ändern oder sie entfernen, ohne dafür ein Konto zu benötigen. Als externer Speicher gelten dort mehrere Anbindungen:

• Objektspeicher: S3-kompatible Buckets,

• Netzlaufwerke: geteilte Ordner über SMB oder einen Windows-Dateiserver im lokalen Netz,

• Cloud-Konten: Anbindungen an OneDrive oder Google Drive,

• Team-Ordner: die als Groupfolders geführten gemeinsamen Verzeichnisse mehrerer Abteilungen.

Der Fehler betrifft allein die eingebundenen Ablagen außerhalb des Heimatverzeichnisses eines einzelnen Nutzers. Die zusätzlichen Speicherorte einer Installation stehen damit im Mittelpunkt der Meldung, denn die Software prüft die Freigaberechte für externe Ablagen und für gemeinsame Team-Ordner an einer anderen Stelle im Code als für die persönlichen Dateien im Heimatverzeichnis. Die lokalen Nutzerdaten im Heimatverzeichnis bleiben außen vor; dort greift die Leseberechtigung eines Links weiterhin wie vorgesehen.

Betroffene und bereinigte Fassungen

Die Lücke steckt im Nextcloud Server ab den Fassungen 32.0.10, 33.0.4 und 34.0.0 sowie im Enterprise Server ab 32.0.10 und 33.0.4. Bereinigt sind die Ausgaben 32.0.12, 33.0.6 und 34.0.1, für den Enterprise Server die Ausgaben 32.0.12 und 33.0.6. Das Projekt veröffentlichte die Meldung am 05. August 2026. Ein Update auf die genannten Fassungen hebt den Fehler auf und stellt die Lesebeschränkung wieder her.

Übergang bis zum Update

Bis zum Einspielen der bereinigten Fassung kann ein Administrator das Risiko über die Konfiguration der geteilten Inhalte senken. Das Abschalten der Link-Freigaben trennt den Zugriff ohne Konto vorübergehend ab. Für die betroffenen Team-Ordner und externen Ablagen grenzt eine gesetzte Schreibsperre den Kreis der schreibenden Konten ein. Administratoren mit aktiven Links aus externem Speicher können die vergebenen Rechte auf ungewollten Schreibzugriff prüfen.

Fazit

Der Fehler in der Rechteprüfung macht aus einer reinen Leseberechtigung einen vollen Schreibzugriff, sobald die Daten außerhalb des Heimatverzeichnisses liegen. Die bereinigten Fassungen 32.0.12, 33.0.6 und 34.0.1 stellen die Beschränkung wieder her und trennen den Schreibzugriff ohne gültige Berechtigung wieder ab. Bis zum Update können abgeschaltete Link-Freigaben und engere Schreibrechte den Zugriff eingrenzen.

(ID:50998057)