CVE-2023-49105 – Authentifizierungs-Bypass bei pre-signierten URLs in ownCloud

Zusammenfassung

CVE-2023-49105 ist eine kritische Schwachstelle in ownCloud (owncloud/core), die es einem Angreifer ermöglicht, ohne Authentifizierung auf beliebige Dateien eines Opfers zuzugreifen, sie zu verändern oder zu löschen. Voraussetzung ist, dass der Benutzername des Opfers bekannt ist und das Opfer keinen Signatur-Schlüssel konfiguriert hat.

Die Schwachstelle wurde mit einem CVSS-Score von 9,8 (Critical) bewertet und betrifft alle Versionen bis einschließlich 10.13.0, die früheste betroffene Version ist 10.6.0.

Technische Details

Der Fehler liegt in der Verarbeitung von pre-signierten URLs (vorgeschriebene URLs) im WebDAV-API-Endpunkt von ownCloud. Diese URLs können akzeptiert werden, selbst wenn für den Eigentümer der Dateien kein Signatur-Schlüssel konfiguriert ist.

Ein Angreifer, der die Benutzernamen eines Opfers kennt, kann auf diese Weise pre-signierte URLs erzeugen, die ohne gültige Signatur akzeptiert werden. Dadurch erhält er unautorisierten Zugriff auf Dateien und kann diese zusätzlich verändern oder löschen – vollständig ohne Authentifizierung gegenüber dem Server.

Betroffene Systeme

Produkt	Betroffene Version	Gefixte Version
ownCloud owncloud/core	< 10.13.1 (ab 10.6.0)	10.13.1

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie ownCloud umgehend auf Version 10.13.1 oder neuer.
2. Konfigurieren Sie Signatur-Schlüssel: Stellen Sie sicher, dass für alle Benutzer ein Signatur-Schlüssel konfiguriert ist, um die Schwachstelle bereits auf Benutzerebene zu entschärfen.
3. Zugriff prüfen: Überprüfen Sie die Zugriffsprotokolle auf unautorisierte Dateizugriffe über den WebDAV-Endpunkt.
4. Sicherheitshinweise befolgen: Beachten Sie die offiziellen Empfehlungen und das Security Advisory von ownCloud.

Quellen

• ownCloud Security
• ownCloud Security Advisory – WebDAV API authentication bypass using pre-signed URLs