- Aktif istismar
- CWE-287
CVE-2023-49105
ownCloud core'da kimlik doğrulama atlatma: dosyalara yetkisiz erişim
- Yayımlandı
- Güncellendi
- 28 Ağu 2026
- Açık yaşı
- 1073 gün
- Kaydı açan
- mitre
Yönetici özeti
Bu zafiyet, ownCloud üzerinde saklanan şirket dosyalarına parola olmadan erişilmesine ve bu dosyaların silinmesine ya da değiştirilmesine izin vermektedir. Zafiyetin aktif olarak istismar edildiği bilinmektedir, bu nedenle güncelleme ve önlemler gecikmeden uygulanmalıdır.
ÖzetTürkçe
ownCloud core bileşeninin 10.13.1 öncesi sürümlerinde (etkilenen en eski sürüm 10.6.0) kimlik doğrulama zafiyeti bulunmaktadır. Kullanıcının imzalama anahtarı (signing-key) tanımlı değilse, önceden imzalanmış URL'ler yine de kabul edilmektedir. Bu nedenle kurban kullanıcının adı bilindiğinde saldırgan kimlik doğrulaması olmadan bu kullanıcının dosyalarına erişebilir. Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, kullanıcı adını bildiği herhangi bir kullanıcının dosyalarını kimlik doğrulaması olmadan okuyabilir, değiştirebilir veya silebilir. Bu durum veri sızıntısına, veri bütünlüğünün bozulmasına ve veri kaybına yol açabilir.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in ownCloud owncloud/core before 10.13.1. An attacker can access, modify, or delete any file without authentication if the username of a victim is known, and the victim has no signing-key configured. This occurs because pre-signed URLs can be accepted even when no signing-key is configured for the owner of the files. The earliest affected version is 10.6.0.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- ownCloud core'u 10.13.1 veya daha yeni bir sürüme güncelleyin; zafiyet 10.6.0 ile 10.13.1 öncesi sürümleri etkilemektedir. Genel öneri
- Güncelleme yapılana kadar sistemi internete açık bırakmamaya çalışın; erişimi VPN veya IP kısıtlaması ile sınırlayın. Genel öneri
- Üretici talimatlarına uygun şekilde önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını durdurmayı değerlendirin. Her varlığın internete açıklık durumunu değerlendirin. CISA
- Olası istismara karşı sistemde adli inceleme (forensics) ön değerlendirmesi yapın; dosya erişim ve değişiklik kayıtlarını inceleyin. CISA
Ek önlemler
- Tüm kullanıcılar için imzalama anahtarlarının tanımlı olduğunu kontrol edin. Genel öneri
- Beklenmedik dosya erişimi, silme ve değişiklik olaylarını web sunucusu ve uygulama günlüklerinden izleyin. Genel öneri
- Düzenli ve çevrimdışı yedek alın; böylece silinen veya değiştirilen dosyalar geri yüklenebilir. Genel öneri
- ownCloud sunucusunu yalnızca gerekli ağlara açın ve ters vekil veya güvenlik duvarı ile erişimi kısıtlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ownCloud | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.