ownCloud Core WebDAV API 인증 우회 및 파일 무단 조작 취약점 (CVE-2023-49105)

영향받는 벤더 / 생태계

owncloud

대상 컴포넌트 / 패키지

owncloud

권고문 발행일

2023-11-21

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

ownCloud Core 10.6.0 버전부터 10.13.1 미만 버전까지 영향을 받습니다.

파급 효과

공격자가 피해자의 사용자 이름만 알고 있고 해당 사용자의 서명 키(Signing-key)가 설정되어 있지 않은 경우, 인증 없이 모든 파일에 접근, 수정 또는 삭제할 수 있습니다.

권장 조치

즉시 ownCloud Core를 최신 안전한 버전(10.13.1 이상)으로 업데이트하고, 임시 완화 조치로 서명 키 설정을 강제하거나 WebDAV 관련 접근 통제를 강화하십시오.

영향받는 제품 및 버전 범위

ownCloud Core 10.6.0 버전부터 10.13.1 미만 버전

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

1. 공식 패치 적용

ownCloud 공식 권고에 따라 시스템을 10.13.1 이상 버전으로 즉시 업그레이드하십시오.

2. 임시 완화 조치 (패치 적용이 어려운 경우)

서명 키 강제 설정: 모든 활성 사용자 계정에 대해 유효한 서명 키(Signing-key)가 구성되어 있는지 확인하고 강제하십시오.
WebDAV API 접근 제한: 신뢰할 수 없는 IP 대역으로부터의 WebDAV API (/remote.php/dav 등) 호출을 방화벽 또는 WAF(웹 애플리케이션 방화벽) 단에서 차단하십시오.
WAF 탐지 규칙 적용: 사전 서명된 URL 매개변수(OC-Signature, OC-Credential 등)가 포함된 비정상적인 WebDAV 요청 패턴을 모니터링하고 차단하는 규칙을 구성하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

실제 악용 사례가 보고된 치명적인 취약점이므로, ownCloud 인스턴스를 즉시 10.13.1 이상 버전으로 업데이트하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2023-49105)은 ownCloud Core의 WebDAV API 구현부에서 발생하는 심각한 인증 우회(CWE-287) 취약점입니다.

ownCloud는 외부 사용자와의 편리한 파일 공유를 위해 사전 서명된 URL(Pre-signed URL) 기능을 제공합니다. 정상적인 메커니즘에서는 이 URL의 유효성을 검증하기 위해 파일 소유자의 서명 키(Signing-key)를 대조해야 합니다. 그러나 취약한 버전에서는 파일 소유자에게 서명 키가 구성되어 있지 않은 경우(기본값 또는 미설정 상태), 시스템이 서명 검증 단계를 생략하거나 빈 값의 서명을 유효한 것으로 수락하는 로직 결함이 존재합니다.

이로 인해 공격자는 대상 사용자의 ID(Username)만 알고 있다면, 임의로 생성한 사전 서명 URL을 통해 인증 과정을 완전히 우회하여 해당 사용자의 WebDAV 저장소 내 모든 파일에 대해 읽기, 쓰기, 삭제 권한을 획득할 수 있게 됩니다. 본 취약점은 CVSS 9.8의 치명적인 등급을 받았으며, 실제 공격에 악용되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 만큼 신속한 대응이 요구됩니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

An issue was discovered in ownCloud owncloud/core before 10.13.1. An attacker can access, modify, or delete any file without authentication if the username of a victim is known, and the victim has no signing-key configured. This occurs because pre-signed URLs can be accepted even when no signing-key is configured for the owner of the files. The earliest affected version is 10.6.0.

https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/

Source: cve@mitre.org · Vendor Advisory

https://owncloud.org/security

Source: cve@mitre.org · Product

https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/

Source: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://owncloud.org/security

Source: af854a3a-2127-422b-91ae-364da2661108 · Product

https://hunt.io/blog/chinese-speaking-operator-philippine-nuclear-naval-contractor

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-49105

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource