[단독분석] 분석 — CVE-2023-49105

• 심각도 critical · CVSS 9.8 · EPSS 0.43205 · 악용난이도 easy · KEV

• 공격자는 피해자의 사용자명을 알면 사전 서명된 URL을 생성하지 않아도 해당 사용자가 소유한 파일에 직접 접근할 수 있습니다.
• 서명키가 설정되지 않은 경우 ownCloud 서버는 인증 검증 없이 URL을 받아들여, 네트워크를 통해 무작위 요청만으로 파일 읽기·수정·삭제가 가능합니다.
• 취약점은 원격에서(AV:N) 저난이도(AC:L)로 이용 가능하며, 사용자 인터랙션이 필요 없습니다(UI:N).

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N는 공격자가 네트워크를 통해 원격에서 복잡도가 낮은( L ) 방법만으로, 인증 없이( PR:N ) 사용자 개입 없이( UI:N ) 취약점을 이용할 수 있음을 의미합니다. 실제로는 피해자의 사용자 이름을 알면 되고, 해당 사용자가 서명키를 설정하지 않았다는 전제만 충족하면 됩니다; 이러한 정보는 일반적인 계정 열람이나 기본 설정 확인으로 쉽게 확보될 수 있습니다. EPSS = 0.43205는 43 % 수준의 실제 악용 확률을 보여주며, KEV에 등재된 점은 이미 실전에서 공격이 관측되었음을 입증합니다. 트리거 조건은 “프리‑사인드 URL을 생성·수신할 때 서명키가 없으면 검증을 우회한다”는 로직이며, 이를 이용해 임의 파일에 대한 읽기·수정·삭제 요청을 직접 전송할 수 있습니다. 공격 표면은 HTTP(S) 기반의 ownCloud API 엔드포인트(예: pre‑signed URL을 처리하는 `/ocs

• 기술적 위험: 인증 우회로 인해 모든 파일에 대한 무단 접근·수정·삭제가 가능하므로 데이터 유출·무결성 파괴·서비스 중단이 즉시 발생할 수 있습니다.
• 비즈니스 리스크: 고객 데이터 손실·규제 위반(개인정보보호법 등)·신뢰도 저하로 인한 계약 손실 및 법적 책임 위험이 존재합니다.
• 영향 제품·범위: ownCloud owncloud_server 10.6.0‑10.13.1 전 버전이 대상이며, 최신 패치가 적용되지 않은 모든 자체 호스팅 환경에 동일하게 노출됩니다.
• 노출 규모: 다중 소스에서 일관성이 확인된 바와 같이(교차검증) 해당 버전을 운영하는 조직 전체가 위험에 처해 있습니다.

• 동일한 인증 우회 패턴을 이용하는 다른 파일 공유 서비스(CWE‑287, CWE‑306)의 취약점과 연계될 경우, 횡적 이동 및 추가 권한 상승 공격이 가능할 수 있습니다.
• 현재 확인된 구체적인 체인 CVE 번호는 없으며, 추후 파일 시스템 접근 권한을 이용한 추가 공격(예: RCE)과 결합될 위험이 존재합니다.

• 로그 패턴: 인증 없이 /remote.php/dav/files/<username>/ 경로에 대한 GET/PUT/DELETE 요청이 기록된 경우.
• 시그니처 예시: status=200 AND request_method=(GET|PUT|DELETE) AND uri_path CONTAINS "/files/" AND NOT auth_user 와 같은 SIEM 규칙으로 탐지 가능.
• 네트워크 트래픽: 외부 IP가 직접 파일 URL에 접근하는 경우, TLS 세션 내에서 Authorization: 헤더가 누락된 요청을 모니터링합니다.

• 즉시 조치: ownCloud 10.13.1 이상으로 패치를 적용하고, 사전 서명된 URL 기능을 비활성화하거나 모든 사용자에 대해 서명키를 강제 설정합니다.
• 임시 대응: 웹 서버 레벨에서 Authorization 헤더가 없거나 OC-User 파라미터가 없는 파일 접근 요청을 차단하는 방화벽 규칙을 적용합니다.
• 장기 해결: 정기적인 패치 관리 프로세스를 강화하고, 사용자 계정 및 키 관리 정책을 재검토하여 서명키 미설정 상태를 사전에 방지합니다.

※ 본 보고서는 다중 소스 교차검증이 일관성을 보이며, EPSS 0.43205(실측 악용 예측)와 KEV 등재·CVSS 9.8을 근거로 즉시 대응(immediate) 우선순위를 부여한 결과입니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=9.8 · KEV · EPSS=0.43205 · exploit=easy · in_scope=None