Nextcloud Flow – Kritische RCE-Schwachstelle via Windmill-Komponente

Was ist passiert?

In der Automatisierungs-App "Flow" von Nextcloud wurde eine kritische Schwachstelle entdeckt. Durch einen Fehler in der zugrundeliegenden Windmill-Komponente können Angreifer Administrator-Tokens abgreifen und eigenen Schadcode auf dem Server ausführen. Da die Ausführung häufig mit Root-Privilegien im Container erfolgt, ist bei einer erfolgreichen Kompromittierung die gesamte Nextcloud-Instanz gefährdet – inklusive aller gespeicherten Dateien, Nutzerkonten und angebundenen Dienste.

Betroffen sind insbesondere Versionen der Flow-App vor 1.3.0. Ein Patch ist verfügbar.

Wen betrifft es?

• ▸KMU, die Nextcloud als Kollaborationsplattform selbst hosten
• ▸Nutzer der App "Nextcloud Flow" (insbesondere Versionen vor 1.3.0)
• ▸IT-Dienstleister in CH/FL, die Managed Nextcloud-Instanzen für Kunden betreiben

Besonders exponiert: Instanzen, die über das Internet erreichbar sind und bei denen die Flow-App aktiv genutzt wird.

Was ist zu tun?

1. ▸Sofort-Update: Die Flow-App umgehend auf Version 1.3.0 oder höher aktualisieren – direkt über den Nextcloud App Store oder via CLI (occ app:update flow).
2. ▸Workaround: Falls ein sofortiges Update nicht möglich ist, die Flow-App in den Nextcloud-Einstellungen deaktivieren und alle zugehörigen Windmill-Container stoppen.
3. ▸Audit: Prüfen, ob auf die Datei windmill_users_config.json bereits unbefugt zugegriffen wurde – Zugriffslogs der betroffenen Instanz sorgfältig auswerten.
4. ▸Hardening: Sicherstellen, dass die Nextcloud-Instanz nach den Hardening-Guidelines konfiguriert ist – eine praxisnahe Referenz ist auf der Webseite von Nextcloud verfügbar.

---

Dieses Advisory dient der Information. Für eine Sicherheitsprüfung deiner Nextcloud-Instanz kontaktiere uns.