{
  "document" : {
    "aggregate_severity" : {
      "text" : "hoch"
    },
    "category" : "csaf_base",
    "csaf_version" : "2.0",
    "distribution" : {
      "tlp" : {
        "label" : "WHITE",
        "url" : "https://www.first.org/tlp/"
      }
    },
    "lang" : "de-DE",
    "notes" : [ {
      "category" : "legal_disclaimer",
      "text" : "Das BSI ist als Anbieter für die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch dafür verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgfältig im Einzelfall zu prüfen."
    }, {
      "category" : "description",
      "text" : "ownCloud ist eine \"on-premise\" Plattform für Dateifreigabe und Zusammenarbeit.",
      "title" : "Produktbeschreibung"
    }, {
      "category" : "summary",
      "text" : "Ein entfernter anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in ownCloud ausnutzen, um falsche Informationen darzustellen, einen Denial-of-Service-Zustand zu erzeugen, Sicherheitsmaßnahmen zu umgehen, Daten zu ändern und vertrauliche Informationen offenzulegen.",
      "title" : "Angriff"
    }, {
      "category" : "general",
      "text" : "- Sonstiges\n- UNIX\n- Windows",
      "title" : "Betroffene Betriebssysteme"
    } ],
    "publisher" : {
      "category" : "other",
      "contact_details" : "csaf-provider@cert-bund.de",
      "name" : "Bundesamt für Sicherheit in der Informationstechnik",
      "namespace" : "https://www.bsi.bund.de"
    },
    "references" : [ {
      "category" : "self",
      "summary" : "WID-SEC-W-2024-2090 - CSAF Version",
      "url" : "https://wid.cert-bund.de/.well-known/csaf/white/2024/wid-sec-w-2024-2090.json"
    }, {
      "category" : "self",
      "summary" : "WID-SEC-2024-2090 - Portal Version",
      "url" : "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-2090"
    }, {
      "category" : "external",
      "summary" : "OwnCloud Security Advisory vom 2024-09-09",
      "url" : "https://owncloud.com/security-advisories/cross-site-request-forgery-in-diagnostics-app/"
    }, {
      "category" : "external",
      "summary" : "OwnCloud Security Advisory vom 2024-09-09",
      "url" : "https://owncloud.com/security-advisories/improper-access-control-in-svg-preview-generation/"
    }, {
      "category" : "external",
      "summary" : "OwnCloud Security Advisory vom 2024-09-09",
      "url" : "https://owncloud.com/security-advisories/insecure-direct-object-reference-in-external-storage/"
    }, {
      "category" : "external",
      "summary" : "OwnCloud Security Advisory vom 2024-09-09",
      "url" : "https://owncloud.com/security-advisories/server-side-request-forgery-in-federated-sharing-api/"
    }, {
      "category" : "external",
      "summary" : "OwnCloud Security Advisory vom 2024-09-09",
      "url" : "https://owncloud.com/security-advisories/url-manipulation-when-sharing-files-via-email/"
    } ],
    "source_lang" : "en-US",
    "title" : "ownCloud: Mehrere Schwachstellen",
    "tracking" : {
      "current_release_date" : "2024-09-09T22:00:00.000+00:00",
      "generator" : {
        "date" : "2024-09-10T10:03:47.419+00:00",
        "engine" : {
          "name" : "BSI-WID",
          "version" : "1.3.6"
        }
      },
      "id" : "WID-SEC-W-2024-2090",
      "initial_release_date" : "2024-09-09T22:00:00.000+00:00",
      "revision_history" : [ {
        "date" : "2024-09-09T22:00:00.000+00:00",
        "number" : "1",
        "summary" : "Initiale Fassung"
      } ],
      "status" : "final",
      "version" : "1"
    }
  },
  "product_tree" : {
    "branches" : [ {
      "branches" : [ {
        "branches" : [ {
          "category" : "product_version_range",
          "name" : "<10.15.0",
          "product" : {
            "name" : "ownCloud ownCloud <10.15.0",
            "product_id" : "T037371"
          }
        }, {
          "category" : "product_version",
          "name" : "10.15.0",
          "product" : {
            "name" : "ownCloud ownCloud 10.15.0",
            "product_id" : "T037371-fixed",
            "product_identification_helper" : {
              "cpe" : "cpe:/a:owncloud:owncloud:10.15.0"
            }
          }
        }, {
          "category" : "product_version_range",
          "name" : "<0.2.1",
          "product" : {
            "name" : "ownCloud ownCloud <0.2.1",
            "product_id" : "T037372"
          }
        }, {
          "category" : "product_version",
          "name" : "0.2.1",
          "product" : {
            "name" : "ownCloud ownCloud 0.2.1",
            "product_id" : "T037372-fixed",
            "product_identification_helper" : {
              "cpe" : "cpe:/a:owncloud:owncloud:0.2.1"
            }
          }
        } ],
        "category" : "product_name",
        "name" : "ownCloud"
      } ],
      "category" : "vendor",
      "name" : "ownCloud"
    } ]
  },
  "vulnerabilities" : [ {
    "cve" : "CVE-2024-37009",
    "notes" : [ {
      "category" : "description",
      "text" : "Es besteht eine Schwachstelle in ownCloud. Dieser Fehler ist auf die unsachgemäße Behandlung von URLs bei der Freigabe von E-Mail-Benachrichtigungen zurückzuführen, wodurch URLs manipuliert und bösartige Links an Benutzer gesendet werden können. Ein entfernter, authentisierter Angreifer kann diese Schwachstelle ausnutzen, um einen Phishing-Angriff durchzuführen."
    } ],
    "product_status" : {
      "known_affected" : [ "T037371", "T037372" ]
    },
    "release_date" : "2024-09-09T22:00:00.000+00:00",
    "title" : "CVE-2024-37009"
  }, {
    "cve" : "CVE-2024-37010",
    "notes" : [ {
      "category" : "description",
      "text" : "Es besteht eine Schwachstelle in ownCloud. Dieser Fehler ist auf eine unsichere „Direct Object Reference“ in der Konfiguration des externen Speichers zurückzuführen, wodurch die Konfiguration des externen Speichers eines anderen Benutzers geändert und auf Anmeldeinformationen zugegriffen werden kann. Ein entfernter, authentisierter Angreifer kann diese Schwachstelle ausnutzen, um Daten zu ändern und vertrauliche Informationen offenzulegen."
    } ],
    "product_status" : {
      "known_affected" : [ "T037371", "T037372" ]
    },
    "release_date" : "2024-09-09T22:00:00.000+00:00",
    "title" : "CVE-2024-37010"
  }, {
    "cve" : "CVE-2024-37011",
    "notes" : [ {
      "category" : "description",
      "text" : "Es besteht eine Schwachstelle in ownCloud. Diese Fehler besteht aufgrund einer unsachgemäßen Zugriffskontrolle bei der Erzeugung von SVG-„Previews“. Ein entfernter, authentisierter Angreifer kann diese Schwachstelle ausnutzen, um vertrauliche Informationen offenzulegen, in diesem Fall, um Zugriff auf die Bilder anderer Benutzer zu erhalten."
    } ],
    "product_status" : {
      "known_affected" : [ "T037371" ]
    },
    "release_date" : "2024-09-09T22:00:00.000+00:00",
    "title" : "CVE-2024-37011"
  }, {
    "cve" : "CVE-2024-37012",
    "notes" : [ {
      "category" : "description",
      "text" : "Es besteht eine Schwachstelle in ownCloud. Ein Server-Side-Request- Forgery-Problem betrifft die Federated Sharing API, wodurch interne Server identifiziert werden können. Außerdem gefährdet eine unsachgemäße Timeout-Behandlung die Serververfügbarkeit. Ein entfernter, anonymer Angreifer kann diese Schwachstelle ausnutzen, um vertrauliche Informationen preiszugeben und einen Denial-of-Service-Zustand zu erzeugen."
    } ],
    "product_status" : {
      "known_affected" : [ "T037371", "T037372" ]
    },
    "release_date" : "2024-09-09T22:00:00.000+00:00",
    "title" : "CVE-2024-37012"
  }, {
    "cve" : "CVE-2024-42014",
    "notes" : [ {
      "category" : "description",
      "text" : "Es besteht eine Schwachstelle in ownCloud. Dieser Fehler betrifft die Diagnostics-Anwendung aufgrund eines unzureichenden Schutzes gegen Cross-Site Request Forgery und einer unsachgemäßen Handhabung von Cookie-Einstellungen, was zu einem Cross-Site-Aufruf einer Admin-API führt. Ein entfernter, anonymer Angreifer kann diese Schwachstelle ausnutzen, um Sicherheitsmaßnahmen zu umgehen. Zur erfolgreichen Ausnutzung ist eine Benutzeraktion erforderlich."
    } ],
    "product_status" : {
      "known_affected" : [ "T037371", "T037372" ]
    },
    "release_date" : "2024-09-09T22:00:00.000+00:00",
    "title" : "CVE-2024-42014"
  } ]
}