Wprowadzenie do problemu / definicja
Podatność CVE-2023-49105 to krytyczna luka w ownCloud, związana z mechanizmem uwierzytelniania w interfejsie WebDAV. W określonych warunkach umożliwia ona nieautoryzowany dostęp do plików bez konieczności podawania hasła, co czyni ją szczególnie niebezpieczną dla organizacji wykorzystujących ownCloud do przechowywania i współdzielenia wrażliwych dokumentów.
Problem dotyczy środowisk, w których mechanizm podpisywania żądań został niewłaściwie skonfigurowany. W praktyce oznacza to, że osoba atakująca może uzyskać dostęp do zasobów wyłącznie na podstawie znajomości nazwy użytkownika oraz sposobu generowania podpisanych adresów URL.
W skrócie
- Podatność CVE-2023-49105 była aktywnie wykorzystywana w rzeczywistych atakach.
- Luka obejmuje wersje ownCloud core od 10.6.0 do 10.13.0.
- Problem został usunięty w wersji 10.13.1.
- Atak pozwala obejść uwierzytelnianie WebDAV przy użyciu pre-signed URL.
- Incydent objął m.in. filipińską instytucję powiązaną z badaniami jądrowymi.
- Podatność trafiła do katalogu Known Exploited Vulnerabilities, co potwierdza jej znaczenie operacyjne.
Kontekst / historia
Luka została ujawniona pod koniec 2023 roku jako poważny problem bezpieczeństwa wpływający na komponent core platformy ownCloud. Sednem błędu była niewłaściwa obsługa podpisanych żądań w module WebDAV, co w części wdrożeń mogło prowadzić do akceptowania spreparowanych żądań pochodzących od nieuprawnionych użytkowników.
Z czasem zagrożenie przestało mieć charakter wyłącznie teoretyczny. Analiza infrastruktury wykorzystywanej przez napastników wskazała na istnienie przygotowanych wcześniej skryptów oraz narzędzi wspierających eksfiltrację danych i działania po uzyskaniu dostępu. Według ustaleń kampania była ukierunkowana na dwa podmioty na Filipinach, w tym organizację badawczą oraz firmę z sektora morskiego i stoczniowego.
Dobór celów oraz charakter przejmowanych informacji sugerują operację o możliwej motywacji wywiadowczej. To pokazuje, że luki w platformach do współdzielenia plików pozostają atrakcyjnym wektorem ataku dla grup zainteresowanych długotrwałym i dyskretnym pozyskiwaniem danych.
Analiza techniczna
CVE-2023-49105 umożliwia obejście uwierzytelniania w API WebDAV. W podatnym scenariuszu serwer akceptuje odpowiednio skonstruowane żądania podpisane tak, jakby pochodziły od legalnego użytkownika, mimo że osoba atakująca nie zna jego hasła. Warunkiem powodzenia ataku jest znajomość prawidłowej nazwy użytkownika oraz brak bezpiecznie ustawionego sekretu podpisującego.
W analizowanym incydencie wykorzystano pięć niestandardowych skryptów. Cztery z nich były przygotowane do obsługi pojedynczych kont, a piąty służył do enumeracji katalogów WebDAV i rejestrowania prób pobierania danych. Taki zestaw narzędzi wskazuje na częściowo zautomatyzowany model działania, obejmujący identyfikację użytkowników, generowanie żądań, przeglądanie struktury katalogów i pobieranie wybranych dokumentów.
Atak nie wymaga klasycznego łamania haseł ani wielu nieudanych prób logowania. Z perspektywy obrony oznacza to, że standardowe wskaźniki kompromitacji mogą nie występować. Znacznie bardziej prawdopodobne są symptomy takie jak nietypowe operacje WebDAV, masowe pobieranie plików, odwołania do podpisanych adresów URL oraz ruch z adresów IP odbiegających od normalnego profilu aktywności użytkownika.
Dodatkowo w tej samej infrastrukturze wykryto inne elementy ofensywne, w tym skrypty związane z atakami na WordPress oraz narzędzia wykorzystywane po uzyskaniu dostępu. Sugeruje to, że luka w ownCloud była częścią szerszego łańcucha ataku, a nie odosobnionym wektorem działania.
Konsekwencje / ryzyko
Skutki eksploatacji CVE-2023-49105 mogą być bardzo poważne dla poufności, integralności i dostępności danych. Osoba atakująca może uzyskać nieautoryzowany dostęp do dokumentów, pobierać je hurtowo, a w zależności od konfiguracji środowiska również modyfikować lub usuwać pliki.
W opisywanym przypadku eksfiltracja obejmowała dokumenty operacyjne, dane osobowe oraz pliki, które mogły ułatwić dalszą kompromitację środowiska, takie jak bazy haseł czy klucze odzyskiwania. To oznacza, że pojedyncza luka aplikacyjna może stać się punktem wejścia do szerszego naruszenia bezpieczeństwa.
Największe ryzyko dotyczy organizacji przetwarzających dane wrażliwe, podmiotów z sektorów regulowanych oraz instytucji infrastruktury krytycznej. Jeżeli ownCloud jest zintegrowany z innymi usługami, skutki incydentu mogą wykraczać poza sam system przechowywania plików i prowadzić do wtórnej kompromitacji tożsamości, systemów administracyjnych oraz procesów biznesowych.
Rekomendacje
Podstawowym działaniem powinno być niezwłoczne sprawdzenie używanej wersji ownCloud i aktualizacja do wersji zawierającej poprawkę, czyli co najmniej 10.13.1. Samo zastosowanie aktualizacji nie powinno jednak kończyć procesu reagowania.
Konieczny jest również przegląd konfiguracji WebDAV, zwłaszcza ustawień związanych z podpisywaniem żądań i generowaniem pre-signed URL. Organizacje powinny upewnić się, że sekrety podpisujące są poprawnie skonfigurowane, nie są puste i nie mają przewidywalnych wartości.
- Zidentyfikować wszystkie publicznie dostępne instancje ownCloud.
- Przeanalizować logi pod kątem nietypowych operacji WebDAV oraz masowych pobrań plików.
- Sprawdzić, czy występowały żądania wykonywane bez typowego procesu logowania.
- Zweryfikować listy użytkowników, których nazwy mogły zostać odgadnięte lub pozyskane z innych źródeł.
- Zresetować poświadczenia i wymienić sekrety w przypadku podejrzenia kompromitacji.
- Ocenić, czy z przejętych zasobów mogły wyciec dodatkowe dane uwierzytelniające, klucze lub pliki konfiguracyjne.
- Wdrożyć mechanizmy detekcji anomalii dla transferów danych z systemów współdzielenia plików.
W środowiskach o podwyższonych wymaganiach bezpieczeństwa warto także ograniczyć ekspozycję interfejsów WebDAV do sieci zaufanych, wdrożyć dodatkowe warstwy kontroli dostępu oraz zastosować segmentację systemów przechowujących dane wrażliwe.
Podsumowanie
CVE-2023-49105 pokazuje, że pojedyncza luka w mechanizmie uwierzytelniania może prowadzić do poważnych incydentów szpiegowskich i szerokiej eksfiltracji danych. Aktywne wykorzystanie podatności przeciwko organizacji związanej z badaniami jądrowymi potwierdza, że zagrożenie ma realny, a nie wyłącznie teoretyczny charakter.
Dla administratorów i zespołów bezpieczeństwa kluczowe pozostają szybkie aktualizacje, audyt konfiguracji WebDAV, analiza logów historycznych oraz ocena, czy dane przechowywane w ownCloud mogły już zostać naruszone. Im dłużej podatna instancja pozostaje publicznie dostępna, tym większe ryzyko cichej i trudnej do wykrycia kompromitacji.