Trusted Design

CVE-2023-49105 の詳細

CVEの情報

説明:
An issue was discovered in ownCloud owncloud/core before 10.13.1. An attacker can access, modify, or delete any file without authentication if the username of a victim is known, and the victim has no signing-key configured. This occurs because pre-signed URLs can be accepted even when no signing-key is configured for the owner of the files. The earliest affected version is 10.6.0.

CVE更新日: 2023-11-21 22:15:08.613000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-08-27

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.432050000

EPSS更新日: 2026-08-30 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

1. 脆弱性の概要

ownCloud Server の WebDAV API における認証バイパス（CWE‑287）。
ユーザーが signing-key を未設定の場合、WebDAV API が pre‑signed URL の署名検証を正しく行わず、 攻撃者は 被害者のユーザー名を知っているだけで、認証なしに任意ファイルへアクセス・変更・削除が可能。

1.1 影響

  • 認証不要で 任意ファイルの読み取り（機密性）
  • 認証不要で 任意ファイルの変更（完全性）
  • 認証不要で 任意ファイルの削除（可用性）
  • 影響は ユーザーが signing‑key を未設定の場合に限定

1.2 深刻度

  • CVSS v3.1: 9.8（Critical）
    Vector: AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H

2. 対象となる環境

2.1 影響を受ける OS / 製品バージョン

OS 依存ではなく ownCloud Server のバージョン依存。
影響を受けるバージョン：

  • ownCloud Server 10.6.0 ～ 10.13.0
    （10.13.1 で修正）

2.2 影響を受ける設定

  • 対象ユーザーが signing‑key を未設定
  • WebDAV API が利用可能な環境

3. 影響を受けた時の兆候（IoC）

公式の IoC は 不明だが、推測可能な兆候：

  • WebDAV API に対する 不審な pre‑signed URL リクエスト
  • 認証ログに 該当ユーザーの認証記録がないのにファイル操作が発生
  • ファイルの 不正な変更・削除
    （認証不要で操作可能なため）

※これらは脆弱性の性質から推測される事実ベースの兆候であり、公式 IoC ではない。

4. 推奨対策

4.1 本対策（恒久対策）

  • ownCloud Server を 10.13.1 以降へアップデート
    （認証バイパスが修正済み）

  • signing‑key を未設定のユーザーが存在しないことを確認

  • 既存の pre‑signed URL を 無効化・再生成

4.2 暫定回避策（緩和策）

公式の暫定回避策は 不明。
有効とされる緩和策：

  • signing‑key を全ユーザーで設定（脆弱性の成立条件を除去）
  • pre‑signed URL の利用を一時的に停止
  • WebDAV API へのアクセス制御強化（IP 制限・WAF）
    （認証不要で悪用されるため）

5. その他補足

  • 脆弱性は 認証バイパス（CWE‑287） として分類
  • 攻撃者は ユーザー名を知っているだけで攻撃可能
  • CISA KEV には未登録（2026年時点）

NVDサイト

NVDでCVEの詳細を見る

戻る