ownCloud: Уразливість неналежної автентифікації (CVE-2023-49105)

Що відомо

У ownCloud версій від 10.6.0 до 10.13.0 виявлено критичну уразливість, що дозволяє зловмиснику отримати доступ, змінювати або видаляти файли без автентифікації, якщо відомий ім'я користувача жертви і відсутній налаштований ключ підпису. Проблема пов’язана з прийняттям попередньо підписаних URL навіть без налаштованого ключа.

Бізнес-вплив

Ця уразливість створює серйозний ризик несанкціонованого доступу до файлів у системах ownCloud, що може призвести до втрати або компрометації даних. Власники інфраструктури повинні терміново оцінити вплив на свої системи, оскільки експлуатація може відбутися без автентифікації, що значно підвищує ризик атаки.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити версію ownCloud і оновити до 10.13.1 або новішої, де уразливість усунена. Якщо оновлення неможливе, слід обмежити доступ до сервісу, перевірити налаштування ключів підпису та провести аудит логів на предмет підозрілої активності. Також варто зменшити мережеву експозицію ownCloud та регулярно перевіряти резервні копії. DataHouse підтримує перевірку версій і допомогу в управлінні патчами для зниження ризиків.

Джерела

• NVD
• CISA KEV
• Reference
• Reference
• Reference
• Reference