Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2023-49105 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2023 |
| Data publikacji | 2026-08-27 |
| Producent | ownCloud |
| Produkt | ownCloud Server (owncloud/core) |
| CVSS Score | 9.8 (Krytyczny) |
| EPSS Score | 11.1% (percentyl: 96%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-08-30 |
Opis podatności
Źródło: CISA KEV / NVD
ownCloud Server w wersjach starszych niż 10.13.1 zawiera podatność obejścia uwierzytelniania. Atakujący, który zna nazwę użytkownika ofiary, może odczytać, zmodyfikować lub usunąć dowolny jej plik — bez logowania i bez żadnych poświadczeń.
Przyczyną jest akceptowanie wstępnie podpisanych adresów URL (pre-signed URLs) także wtedy, gdy użytkownik nie ma skonfigurowanego klucza podpisu. W takiej sytuacji podpis nie jest weryfikowany wobec niczego, więc kontrola dostępu opiera się wyłącznie na znajomości nazwy użytkownika. Nazwy użytkowników w organizacjach są zwykle przewidywalne (imię.nazwisko), co czyni ten warunek trywialnym do spełnienia.
EPSS na poziomie 11% przy percentylu 96 oznacza, że podatność należy do najczęściej atakowanych — to jeden z nielicznych przypadków, gdzie ten wskaźnik faktycznie coś mówi.
Wymagane działania
Zastosuj środki zaradcze zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 („Prioritizing Security Updates Based on Risk”) oraz z wymaganiami CISA dotyczącymi triage’u śledczego („Forensics Triage Requirements”). W przypadku usług chmurowych postępuj zgodnie z odpowiednimi wytycznymi BOD 26-04 albo zaprzestań korzystania z produktu, jeśli środki zaradcze nie są dostępne. Za ocenę ekspozycji każdego zasobu na dostęp z internetu oraz za przestrzeganie wytycznych BOD 26-04 odpowiadają właściciele systemów.
W praktyce: aktualizacja do ownCloud Server 10.13.1 lub nowszego. Jeśli aktualizacja nie jest natychmiast możliwa, zweryfikuj, którzy użytkownicy nie mają skonfigurowanego klucza podpisu — to oni są podatni.
Termin wyznaczony przez CISA dla podmiotów federalnych USA: 2026-08-30.
Kogo dotyczy?
Podatność dotyczy instalacji ownCloud Server (owncloud/core) w wersjach starszych niż 10.13.1.
ownCloud jest w Polsce wybierany tam, gdzie dane nie mogą trafić do chmury publicznej — w administracji samorządowej, jednostkach medycznych, uczelniach i firmach z wymogami dotyczącymi lokalizacji danych. To są instalacje utrzymywane własnymi siłami, często bez regularnego cyklu aktualizacji, więc wersje sprzed 10.13.1 są nadal realnie spotykane.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
