30秒で判断
- 対応すべき人: ownCloud（owncloud/core 10.13.1 より前）をセルフホスト運用している管理者
- 対応不要な人: ownCloudを使用していない、または既に 10.13.1 以降へ更新済みの方
- 確認コマンド:
ownCloud管理画面のバージョン表示、およびユーザーの署名キー（signing-key）設定を確認 - クイックアクション: owncloud/core 10.13.1 以降へアップデート
概要
ownCloud の owncloud/core（10.13.1 より前）に、WebDAV API の認証バイパス脆弱性があります。攻撃者は被害者のユーザー名を知っており、かつその被害者に署名キー（signing-key）が設定されていない場合、認証なしで任意のファイルへアクセス・変更・削除できる可能性があります。
これは、ファイル所有者に署名キーが構成されていない状態でも pre-signed URL（事前署名URL）が受理されてしまうことが原因です。影響を受ける最も古いバージョンは 10.6.0 です。セルフホストのファイル共有基盤として利用されているため、外部公開している環境では特に注意が必要です。
CVSSスコアは 9.8（Critical）、CWEは CWE-287（不適切な認証）に分類されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 |
| 深刻度 | Critical |
| CWE | CWE-287 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| ownCloud core | ownCloud | >= 10.6.0, < 10.13.1 |
対象: 署名キーが未設定のユーザーが存在する owncloud/core 環境。
修正バージョンと回避策
owncloud/core 10.13.1 以降へアップデートしてください。直ちに更新できない場合は、外部からの WebDAV エンドポイントへのアクセスを制限し、ユーザーの署名キー設定状況を確認することでリスクを低減できます。
関連リンク
| ソース | URL |
|---|---|
| NVD | https://nvd.nist.gov/vuln/detail/CVE-2023-49105 |
| ownCloud Advisory | https://owncloud.com/security-advisories/webdav-api-authentication-bypass-using-pre-signed-urls/ |
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。