Eine seit Ende 2023 bekannte Schwachstelle in Owncloud erlaubt Angreifern unauthentifizierten Zugriff auf Dateien. Der Clou sind vorsignierte URLs und fehlende Signing Keys. Wenn du Owncloud einsetzt, solltest du deine Installation umgehend prüfen.
Seit 2023 bekannt, jetzt als aktiv ausgenutzt gemeldet
Die Sicherheitslücke CVE-2023-49105 erreicht einen CVSS-Score von 9.8 und einen EPSS-Score von 43,21. Sie ist bereits seit November 2023 bekannt und geschlossen, wurde aber erst Ende August 2026 als aktiv ausgenutzt gemeldet. Die CISA hat die Schwachstelle daraufhin in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen.
Authentifizierungs-Bypass über vorsignierte URLs
Owncloud ist eine Open-Source-Plattform für Filesharing und Dateisynchronisierung, die Unternehmen als selbst betriebene Alternative zu kommerziellen Cloud-Speichern einsetzen können. Die Schwachstelle betrifft die WebDAV-API der Plattform. Angreifer können ohne Authentifizierung beliebige Dateien lesen, verändern oder löschen, sofern sie den Benutzernamen des Opfers kennen und für dieses kein Signing Key konfiguriert ist. Letzteres ist laut Owncloud die Standardeinstellung. Ursache ist, dass vorsignierte URLs auch dann akzeptiert werden, wenn für den Eigentümer der Dateien kein Signing Key hinterlegt ist. Die Schwachstelle entstammt der Kategorie CWE-665, also einer fehlerhaften Initialisierung, und lässt sich über das Netzwerk mit niedriger Komplexität ausnutzen, ohne erforderliche Berechtigungen und ohne Nutzerinteraktion.
Alte Installationen jetzt prüfen
Betroffen sind die Owncloud-Core-Versionen 10.6.0 bis einschließlich 10.13.0. Mit Version 10.13.1 unterbindet der Hersteller die Verwendung vorsignierter URLs, wenn für den Eigentümer der Dateien kein Signing Key konfiguriert ist. Der hohe EPSS-Score sowie die Aufnahme in den KEV-Katalog zeigen, dass die Schwachstelle weiterhin für Angriffe genutzt wird. Du solltest deine Owncloud-Instanzen prüfen und mindestens auf Version 10.13.1 aktualisieren, da inzwischen neuere Versionen verfügbar sind, empfiehlt sich das Einspielen der jeweils aktuellen Ausgabe. Prüfe zudem, ob für deine Benutzerkonten Signing Keys konfiguriert sind. Der Hersteller hat eine FAQ-Seite mit weiteren Informationen zu der Schwachstelle veröffentlicht.