Stare wersje ownCloud Server pozwalają pobrać, zmienić lub usunąć pliki pracownika bez logowania, jeśli zna się nazwę jego konta. Luka służy do kradzieży dokumentów. Zaktualizuj do 10.13.3 lub nowszej dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które przechowują dokumenty we własnej instalacji ownCloud Server 10. Werdykt: jeśli wersja jest niższa niż 10.13.3, zaktualizuj ją dziś, bo luka pozwala obcej osobie z internetu pobrać, zmienić lub usunąć pliki pracowników bez podawania hasła, a CISA potwierdza ataki.
Amerykańska agencja CISA 27 sierpnia 2026 roku dopisała do katalogu KEV lukę CVE-2023-49105 w ownCloud Server. Katalog KEV to lista podatności, o których CISA ma dowody wykorzystania w prawdziwych atakach. Luka została ujawniona przez producenta 21 listopada 2023 roku, ale dzień przed wpisem do katalogu firma Hunt.io opisała jej użycie do kradzieży dokumentów filipińskiej instytucji badań jądrowych.
Mechanizm wstępnie podpisanych linków do plików działał także wtedy, gdy użytkownik nie miał ustawionego klucza podpisu, a według producenta brak takiego klucza jest ustawieniem domyślnym. W praktyce wystarczy znać nazwę użytkownika, żeby działać na jego plikach bez logowania.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2023-49105 |
Data dodania do CISA KEV | 2026-08-27 |
Termin naprawy wg CISA | 2026-08-30 |
Produkt | ownCloud, ownCloud Server 10 (core), interfejs WebDAV |
Wersje zagrożone | Wg producenta core 10.6.0 do 10.13.0; wg NVD od 10.6.0 przed 10.13.1. Warunek: użytkownik bez skonfigurowanego klucza podpisu (ustawienie domyślne) i znana napastnikowi nazwa użytkownika. ownCloud Infinite Scale i ownCloud.Online wg producenta nie są podatne |
Wersje bezpieczne | Producent zaleca 10.13.3 (wydana 17 listopada 2023) lub nowszą albo łatkę od wsparcia dla klientów z subskrypcją. Najnowsza wersja w dzienniku zmian: 10.16.4 z 29 lipca 2026 |
Typ podatności | Obejście uwierzytelniania; CWE-287 (NVD, CISA), producent podaje CWE-665 (niewłaściwa inicjalizacja) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD i MITRE; producent: CVSS 3, 9.8, ryzyko high). Atak przez sieć, bez konta i bez udziału użytkownika |
Wyobraź sobie archiwum firmowe, w którym kierownik może wydać pracownikowi przepustkę z pieczątką, ważną przez określony czas. Portier sprawdza, czy pieczątka pasuje do wzoru. Problem w tym, że część działów nigdy nie dostała własnej pieczątki, a portier i tak przepuszcza każdego, kto pokaże „pustą” pieczątkę i poda nazwisko pracownika z tego działu.
Tak działa ta luka. ownCloud pozwala tworzyć linki do plików podpisane kluczem użytkownika. Gdy klucza nie ustawiono, serwer i tak przyjmował takie linki, więc wystarczyło znać nazwę konta, żeby pobierać, zmieniać lub usuwać pliki tej osoby. Nazwy kont często da się odgadnąć, bo powtarzają schemat firmowych adresów e-mail.
💡 ownCloud Server to oprogramowanie do przechowywania i udostępniania plików instalowane na własnym serwerze firmy, alternatywa dla komercyjnych dysków w chmurze. WebDAV to standardowy sposób dostępu do plików przez internet, z którego korzystają aplikacje ownCloud. Wstępnie podpisany link to adres do pliku, który sam w sobie zawiera „przepustkę” i nie wymaga logowania.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba zna nazwę konta pracownika | Bez hasła nie ma dostępu | Może pobrać jego pliki |
Dokumenty zarządu w ownCloud | Widzą je tylko uprawnieni | Dostępne dla każdego, kto zna nazwę konta |
Umowy i faktury w udostępnionym folderze | Zmiany tylko przez uprawnione osoby | Mogą zostać po cichu podmienione lub usunięte |
Nowa instalacja ownCloud | Bezpieczna po domyślnej konfiguracji | Domyślny brak klucza podpisu otwiera lukę |
Firma korzysta z ownCloud.Online | Usługa zarządzana przez producenta | Wg producenta nie jest podatna |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z przypadkiem opisanym przez Hunt.io. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka działa z internetu i nie wymaga konta, jeśli serwer ownCloud jest publicznie dostępny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie publicznie dostępnych serwerów ownCloud w starej wersji | Lista celów |
2. Ustalenie kont | T+godziny | Zebranie nazw użytkowników, np. ze stron firmy i adresów e-mail | Lista kont do podszycia się |
3. Dostęp do plików | T+minuty od rozpoznania | Wykorzystanie luki do działania w imieniu wybranych użytkowników | Odczyt folderów bez hasła |
4. Kradzież | T+godziny do dni | Pobieranie dokumentów, magazynów haseł i danych osobowych | Wyciek danych, w opisanym przypadku ok. 9 GB |
5. Wykorzystanie | T+tygodnie | Szpiegostwo, szantaż, dalsze włamania z użyciem zdobytych haseł | Straty i incydent do zgłoszenia |
Serwer plików to miejsce, w którym firma trzyma najcenniejsze dokumenty: umowy, dane kadrowe, oferty, hasła. Luka ma najwyższy praktycznie poziom oceny, działa bez konta i według CISA atak da się zautomatyzować. Każda instalacja wystawiona do internetu w starej wersji jest otwartym archiwum.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Usunięte lub podmienione pliki, wyłączenie serwera do czasu analizy | Godziny | 20 tys. do 150 tys. PLN (przestój, odtwarzanie z kopii) |
Bezpieczeństwo danych | Kradzież dokumentów, danych osobowych i haseł | Godziny do dni | 50 tys. do 300 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Szantaż, oszustwa na podmienionych dokumentach, utracone kontrakty | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Wyciek dokumentów klientów i partnerów | Miesiące | 50 tys. do 400 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla ownCloud Server 10.6.0 do 10.13.x
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne, bo luka daje dostęp do plików bez hasła, działa w domyślnej konfiguracji, jest wykorzystywana w atakach, a CISA ocenia ją jako możliwą do automatyzacji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję każdej instalacji ownCloud Server w firmie | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zaktualizować do 10.13.3 lub nowszej (najlepiej aktualnej 10.16.x) albo zastosować łatkę producenta | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa, odciąć serwer od internetu | Dziś | Administrator |
4 | 🟠 PILNIE | Przejrzeć logi dostępu pod kątem pobierania plików z wielu kont z jednego adresu | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Zmienić hasła i klucze przechowywane w plikach na serwerze, jeśli był dostępny z internetu | Do 3 dni | Administrator |
6 | 🟠 PILNIE | Zweryfikować z producentem pozostałe luki ujawnione razem z tą (CVE-2023-49103, CVE-2023-49104) | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Ocenić, czy dane firmowe powinny być na serwerze dostępnym z internetu bez dodatkowej ochrony | Do 30 dni | CTO |
Producent wydał wersję z poprawką w listopadzie 2023 roku, a klientom z subskrypcją oferuje osobną łatkę. Poniższe środki ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera od internetu, dostęp tylko przez VPN | Wysoka | Średnia |
Ustawienie silnego klucza podpisu dla kont (zalecenie Hunt.io) | Średnia, nie zastępuje aktualizacji | Średnia |
Monitorowanie nietypowego ruchu WebDAV, np. pobierania plików z wielu kont z jednego źródła | Niska do średniej: wykrywa, nie blokuje | Średnia |
Przeniesienie najcenniejszych dokumentów i plików z hasłami poza serwer | Średnia: ogranicza skutki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do plików | Wystarczy znać nazwę konta | Wymagane poprawne uwierzytelnienie |
Wersja ownCloud | Poniżej 10.13.3 | 10.13.3 lub nowsza |
Widoczność z internetu | Serwer otwarty dla każdego | Dostęp tylko przez VPN lub z poprawką |
Hasła w plikach | Mogły zostać skradzione | Zmienione i usunięte z serwera |
Wiedza o incydencie | Brak przeglądu logów | Logi przejrzane, decyzja o zgłoszeniu podjęta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA SSVC: wykorzystanie aktywne, atak możliwy do automatyzacji |
Grupy przestępcze | Brak nazwy grupy. Hunt.io opisuje operatora, który najpewniej posługuje się językiem chińskim i atakował organizacje na Filipinach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (CVSS 3.1, NVD i MITRE; producent: 9.8) |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym PoC; Hunt.io opisał prywatne skrypty napastnika znalezione na jego serwerze |
Liczba atakowanych firm | Brak publicznych danych. Hunt.io opisał dwie ofiary na Filipinach (instytucja badań jądrowych przez ownCloud, stocznia przez WordPress) i możliwą trzecią |
Skala kradzieży w opisanym przypadku | Ok. 9 GB materiałów, w tym dane osobowe pracowników, magazyny haseł i klucze BitLocker (wg Hunt.io) |
Rozbieżności w źródłach | NVD: poprawka od 10.13.1; producent i Hunt.io: aktualizacja do 10.13.3. CWE-287 (NVD) wobec CWE-665 (producent) |
Sygnały zagrożenia dla CVE-2023-49105
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
Uwierzytelnienie brak ████████████████████ wystarczy nazwa konta
Automatyzacja (SSVC) TAK ████████████████████ możliwa
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware ? ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2023-11-17 Wydanie ownCloud Core 10.13.3
2023-11-21 ownCloud publikuje komunikat, publikacja CVE-2023-49105
2023-11-27 CISA w ocenie SSVC oznacza wykorzystanie jako aktywne
2026-07-29 Wydanie ownCloud Core 10.16.4 (najnowsza w dzienniku zmian)
2026-08-13 Hunt.io znajduje serwer napastnika z danymi skradzionymi z ownCloud
2026-08-26 Publikacja raportu Hunt.io
2026-08-27 CISA dodaje lukę do katalogu KEV
2026-08-30 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: ownCloud, WebDAV Api Authentication Bypass using Pre-Signed URLs . Zalecenia i wersje: owncloud.org/security . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2023-49105 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa ownCloud Server i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację lub odcięcie serwera od internetu | CTO | DZISIAJ |
3 | Zlecić przegląd logów dostępu do plików od listopada 2023 | CTO | DO JUTRA |
4 | Ustalić, czy na serwerze były dane osobowe, i przygotować ścieżkę zgłoszenia do UODO na wypadek wycieku | CFO | DO JUTRA |
5 | Sprawdzić, czy firma ma subskrypcję ownCloud uprawniającą do wsparcia i łatek | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualizowanego oprogramowania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja ownCloud Server działa w firmie? | [wersja] | 🔴 |
2 | Czy serwer ownCloud jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano wersję 10.13.3 lub nowszą? | [data] | 🔴 |
4 | Czy logi pokazują pobieranie plików z wielu kont z jednego adresu? | TAK / NIE | 🟠 |
5 | Czy na serwerze są pliki z hasłami, kluczami lub danymi osobowymi? | TAK / NIE | 🟠 |
6 | Czy konta użytkowników mają ustawione klucze podpisu? | TAK / NIE | 🟡 |
7 | Czy mamy subskrypcję producenta z dostępem do łatek? | TAK / NIE | 🟡 |
CVE-2023-49105 pozwala każdemu, kto zna nazwę konta, działać na plikach w ownCloud Server bez hasła, a sierpniowy raport Hunt.io pokazuje, że służy do kradzieży dokumentów także w 2026 roku. Poprawka istnieje od listopada 2023 roku, więc instalacja wersji 10.13.3 lub nowszej, przegląd logów i zmiana haseł przechowywanych na serwerze to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.