owncloud.online 11.0.25

owncloud.online 11.0.25 – Sicherheitsrelease: Widerruf und das Trennen einer Sitzung beenden jetzt auch die Sitzungen von Sync-Clients, Tokens erscheinen nicht mehr im Klartext im Protokoll, und die Office-App oco_office (Collabora Online mit SecureView) ist ab dieser Version über den Marktplatz erhältlich. Update von 11.0.24 mit occ upgrade wie gewohnt, ohne Datenbank-Migrationen. Vorher sichern: Zurück auf 11.0.24 geht nur über die Sicherung.

Sicherheit

• Ein widerrufenes App-Passwort, eine widerrufene OAuth2-Freigabe und das Trennen einer Sitzung (Persönlich → Sicherheit → Sitzungen, „Trennen“) beenden die Sitzung eines Sync-Clients mit der nächsten Anfrage.
• Ein Kennwortwechsel beendet die Sitzungen von Clients, die sich mit dem Kennwort anmelden, spätestens nach last_check_timeout Minuten (Vorgabe 5).
• Bei Verdacht auf ein verlorenes Gerät oder abgegriffene Zugangsdaten: Kennwort ändern, alle übrigen Sitzungen unter „Sitzungen“ trennen, App-Passwörter und OAuth2-Freigaben widerrufen und bei Bedarf das Konto vorübergehend deaktivieren (Doku: Fehlersuche → „Gerät verloren oder Zugangsdaten abgegriffen“).
• access_token, requesttoken und password stehen in der protokollierten Adresse nur noch als *** (Protokollarten owncloud und syslog). Tokens im Pfad einer Adresse und in Meldungstexten bleiben unverändert. Ältere Protokolle sowie die Zugriffsprotokolle von Webserver und Collabora vor dem Einsatz von oco_office rotieren oder bereinigen.

Nach dem Update beachten

• Sitzungen von vor dem Update, die ohne App-Passwort nur das Cookie schicken, melden sich einmal neu an.
• App-Passwörter mit einem Kennwort von vor einem Kennwortwechsel werden mit der nächsten Prüfung ungültig; diese Geräte brauchen ein neues App-Passwort. Ausgenommen sind Konten aus LDAP und App-Passwörter ohne hinterlegtes Kennwort – diese bei Bedarf widerrufen.
• Anfragen nur mit dem Cookie an eine per OAuth2 begonnene Sitzung bekommen 401; Desktop- und Mobil-Clients senden ihr Token immer mit.
• Jede Prüfung mit einem veralteten Kennwort steht als „Login failed“ im Protokoll und zählt für die Bremse gegen Passwort-Raten. Direkt nach dem Update und hinter gemeinsamen Adressen (NAT) können sich solche Einträge häufen – fail2ban-Regeln auf „Login failed“ vorher prüfen.
• Ist der LDAP-Server bei einer fälligen Prüfung nicht erreichbar, enden Kennwort-Sitzungen von Sync-Clients, die nur das Cookie schicken; die Clients melden sich neu an.
• Je Gerät mit App-Passwort prüft der Server das Kennwort alle last_check_timeout Minuten – etwas mehr Last bei vielen Geräten.

Neu

• Office-App oco_office 0.4.2 (Collabora Online, SecureView mit Wasserzeichen) über den Marktplatz. Sie setzt die Protokoll-Maskierung und die neue Versionsschnittstelle dieses Release voraus und lässt sich auf älteren Versionen nicht einschalten.
• Für App-Entwickler: OCA\Files_Versions\Storage::skipNextVersion($path) lässt die Version des nächsten Schreibvorgangs aus. Eigene Token-Provider müssen die neue Methode claimCredentialCheck von OC\Authentication\Token\IProvider umsetzen.

Weitere Fehlerbehebungen

• Neuinstallation: Die Markt-App ist direkt eingeschaltet und fragt den Katalog täglich ab. Installationen ohne Internetzugang setzen 'appstoreurl' => 'local' oder schalten die App mit occ app:disable market ab.
• Kennwort zurücksetzen: Ein Fehler vor dem Versand der Mail blockiert die nächste Anforderung nicht mehr.
• Ein Anmeldeformular ohne Benutzer- oder Kennwortfeld schreibt keine PHP-Deprecation mehr ins Protokoll.
• 68 Übersetzungstexte nennen owncloud.online statt alter Produktnamen.

Alle Details: CHANGELOG.md im Repository.

---

owncloud.online 11.0.25 is a security release. Revoking access and disconnecting a session now also end the sessions of sync clients, tokens no longer appear in plain text in the log, and the office app oco_office (Collabora Online with SecureView) is available from the marketplace starting with this release. To update from 11.0.24, run occ upgrade as usual; there are no database migrations. Back up first: the backup is the only way back to 11.0.24.

Security

• A revoked app password, a revoked OAuth2 grant and disconnecting a session (Personal → Security → Sessions, "Disconnect") now end a sync client's session with its next request.
• A password change ends the sessions of clients that log in with that password no later than last_check_timeout minutes after the change (default 5).
• If a device was lost or credentials may have been compromised: change the password, disconnect all other sessions under "Sessions", revoke app passwords and OAuth2 grants, and disable the account for the time being if needed (documentation, in German: Fehlersuche → "Gerät verloren oder Zugangsdaten abgegriffen").
• access_token, requesttoken and password now appear only as *** in the logged URL (log types owncloud and syslog). Tokens in the path of a URL and in message texts stay unchanged. Before you start using oco_office, rotate or clean up older logs as well as the access logs of the web server and of Collabora.

After the update

• Sessions from before the update that send only the cookie, without an app password, log in again once.
• App passwords that store a password from before a password change become invalid at the next check; these devices need a new app password. Accounts from LDAP and app passwords without a stored password are not affected; revoke them if needed.
• Requests that send only the cookie to a session started with OAuth2 get HTTP 401. The desktop and mobile clients always send their token.
• Every check with an outdated password is logged as "Login failed" and counts toward brute-force throttling. Right after the update and behind shared IP addresses (NAT), these entries can pile up, so check fail2ban rules that match "Login failed" beforehand.
• If the LDAP server cannot be reached when a check is due, password sessions of sync clients that send only the cookie end; the clients then log in again.
• For each device with an app password, the server checks the password every last_check_timeout minutes. With many devices, this adds some load.

New

• The office app oco_office 0.4.2 (Collabora Online, SecureView with watermark) is available from the marketplace. It relies on the log masking and the new versions interface in this release and cannot be enabled on older versions.
• For app developers: OCA\Files_Versions\Storage::skipNextVersion($path) skips the version for the next write. Custom token providers must implement the new method claimCredentialCheck of OC\Authentication\Token\IProvider.

Other fixes

• New installations: the market app is enabled right away and checks the catalog once a day. On installations without internet access, set 'appstoreurl' => 'local' or disable the app with occ app:disable market.
• Password reset: an error before the email is sent no longer blocks the next request.
• A login form without a user name or password field no longer writes a PHP deprecation notice to the log.
• 68 translated strings now name owncloud.online instead of old product names.

Full details: CHANGELOG.md in the repository.

Full Changelog: v11.0.24...v11.0.25