CISA cảnh báo lỗ hổng ownCloud bị khai thác để đánh cắp dữ liệu
"CISA added CVE-2023-49105, a critical ownCloud WebDAV authentication bypass (CVSS 9.8), to its Known Exploited Vulnerabilities catalog after reports of active exploitation against a Philippine nuclear research body. The flaw affects ownCloud core versions 10.6.0 through 10.13.0 and was fixed in 10.13.1; the article also notes concurrent exploitation of CVE-2024-28000 in LiteSpeed Cache and mentions additional KEV entries for CVE-2026-53362 and CVE-2026-66384."
Rủi ro rất cao do đã có khai thác thực tế, có thể dẫn đến truy cập trái phép và rò rỉ dữ liệu nhạy cảm. Cần vá ngay và kiểm tra dấu hiệu xâm nhập.
Có thể gây gián đoạn vận hành, mất dữ liệu và ảnh hưởng đến uy tín tổ chức. Các đơn vị dùng ownCloud và WordPress cần ưu tiên kiểm tra hệ thống liên quan.
Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) đã bổ sung CVE-2023-49105 vào danh mục Known Exploited Vulnerabilities (KEV) sau khi ghi nhận việc khai thác thực tế nhằm vào một tổ chức nghiên cứu hạt nhân tại Philippines. Lỗ hổng này là lỗi bypass xác thực WebDAV trong ownCloud, có điểm CVSS 9.8, và có thể cho phép kẻ tấn công truy cập, sửa hoặc xóa tệp nếu biết tên người dùng và hệ thống chưa cấu hình signing key.
Theo báo cáo, lỗ hổng ảnh hưởng đến ownCloud core 10.6.0 đến 10.13.0 và đã được khắc phục trong 10.13.1. Dữ liệu bị trích xuất được cho là gồm 176 tệp, tổng dung lượng khoảng 372 MB, bao gồm hồ sơ tài nguyên hạt nhân, kế hoạch chiến lược, dữ liệu nhân sự và một số kho lưu trữ thông tin xác thực.
Báo cáo cũng cho biết cùng lúc có dấu hiệu khai thác CVE-2024-28000 trong LiteSpeed Cache trên một hệ thống WordPress khác, cùng với các script brute-force qua XML-RPC. Ngoài ra, CISA còn bổ sung CVE-2026-53362 và CVE-2026-66384 vào KEV.
Khuyến nghị: ưu tiên cập nhật ownCloud lên 10.13.1, rà soát log WebDAV, kiểm tra dấu hiệu rò rỉ dữ liệu và áp dụng vá lỗi theo hạn CISA cho các hệ thống liên quan.