Bei der Nextcloud GmbH, dem Unternehmen hinter der gleichnamigen Opensource-Kollaborationslösung, gab es womöglich ein Datenleck. Wie Sicherheitsforscher herausfanden, stand eine ElasticSearch-Datenbank mit über 360.000 Einträgen offen und hätte von jedermann ausgelesen werden können.

Bereits am 18. Mai stießen die Forscher auf die Datenbank mit etwa 8 GByte Informationen zu Nextcloud-Kunden, -Partnern und Mitarbeitern. Auch Verträge und Scripte für Nextcloud-Firmenkunden sollen sich in dem offenen ElasticSearch-Cluster befunden haben.

Nachdem die Finder das Unternehmen erst eine Woche darauf auf das Problem hingewiesen hatten schloss die Nextcloud GmbH die Lücke zwei Tage später. Sie informierte die zuständigen Aufsichtsbehörden.

Die Forscher von Cybernews schreiben: „Wenn unser Team den exponierten Datensatz finden konnte, dann hätten Angreifer das auch tun können“. Die Nextcloud GmbH stellt gegenüber heise security klar: „Uns ist derzeit kein Fall bekannt, in dem die Daten missbraucht wurden.“

Fatale Fehlkonfiguration

Ursache des potenziellen Lecks ist nach Angaben des Unternehmens eine Fehlkonfiguration der Hostingstruktur der Nextcloud GmbH. Die Open-Source-Kollaborationssoftware sowie ihre Nutzer seien nicht in Mitleidenschaft gezogen worden: „ Andere Nextcloud-Server unserer Kunden, Partner oder anderer Nutzer sind von diesem Problem nicht betroffen.“

Nextcloud positioniert sich als quelloffene Alternative zu proprietären Lösungen wie Microsofts M365. Das Land Mecklenburg-Vorpommern will zugunsten von Nextcloud auf Sharepoint verzichten.

(cku)