"ownCloud เปิดทางเข้าถึงไฟล์โดยไม่ล็อกอิน CVE-2023-49105"

พอดีไล่ฟีด CISA KEV เจอ CVE-2023-49105 ของ ownCloud ซึ่งถูกเพิ่มเข้ารายการวันที่ 27 สิงหาคม 2026 เพราะมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว ปัญหาอยู่ที่การยืนยันตัวตนของ WebDAV API ผู้โจมตีอาจเข้าถึงไฟล์ของผู้ใช้โดยไม่ต้องล็อกอิน หากรู้ชื่อผู้ใช้และบัญชีนั้นยังไม่มี signing-key ตั้งไว้ ผู้โจมตีอาจอ่าน แก้ไข หรือลบไฟล์ของบัญชีที่เข้าเงื่อนไขได้ ตามข้อมูลใน CISA KEV

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากให้บริการ ownCloud core 10.6.0–10.13.0 ให้ตรวจรุ่นและเร่งอัปเดตทันที พร้อมตรวจร่องรอยการเข้าถึงไฟล์ผิดปกติ

เกิดอะไรขึ้น

WebDAV เป็นช่องทางให้โปรแกรมเข้าถึงและจัดการไฟล์ใน ownCloud ส่วน pre-signed URL คือลิงก์ที่มีลายเซ็นใช้ตรวจสิทธิ์ ปัญหาคือระบบยังยอมรับลิงก์แบบนี้แม้เจ้าของไฟล์ยังไม่มี signing-key หรือคีย์ตรวจลายเซ็น ผู้โจมตีเลยอาจข้ามขั้นตอนล็อกอินเข้าไปจัดการไฟล์ได้

เงื่อนไขสำคัญมีสองอย่างร่วมกัน คือผู้โจมตีรู้ชื่อผู้ใช้เป้าหมาย และบัญชีนั้นไม่มี signing-key ผู้ผลิตระบุว่าการไม่มีคีย์เป็นค่าเริ่มต้น ผลที่เกิดขึ้นได้คืออ่าน แก้ไข หรือลบไฟล์ของผู้ใช้ที่เข้าเงื่อนไข โดยไม่ต้องมีรหัสผ่านและไม่ต้องให้เจ้าของบัญชีกดยืนยัน การตั้งรหัสผ่านที่แข็งแรงเพียงอย่างเดียวเลยไม่ใช่การแก้ข้อผิดพลาดในเส้นทางนี้

ประกาศ ownCloud ระบุ Risk เป็น high และให้ CVSS v3 Base Score 9.8 ส่วนระเบียน CVE จัดคะแนน 9.8 เป็น Critical ป้ายระดับความรุนแรงของสองแหล่งนี้ต่างกัน ตัวแก้ในโปรแกรมจะปฏิเสธ pre-signed URL หากเจ้าของไฟล์ยังไม่มี signing-key

ใครโดนและรุ่นที่แก้

ขอบเขตในประกาศเฉพาะช่องโหว่นี้คือ ownCloud core 10.6.0 ถึง 10.13.0 โดย ระเบียน CVE-2023-49105 และ changelog ของ ownCloud ยืนยันการแก้ตั้งแต่ 10.13.1

เอกสารให้เลขรุ่นไม่ตรงกัน: ระเบียน CVE และ changelog ระบุว่าแก้ตั้งแต่ 10.13.1 แต่ ประกาศคำแนะนำรวมของ ownCloud ระบุให้แก้ CVE นี้ด้วย 10.13.3 หรือแพตช์จากทีมสนับสนุน ผู้ดูแลควรเลือกรุ่นที่ยังรองรับและรวมการแก้เหล่านี้แล้ว โดยตรวจเส้นทางอัปเกรดกับผู้ผลิตอีกครั้ง

ต้องทำอะไร

เริ่มจากตรวจเลขรุ่นของ ownCloud Server ที่ให้บริการจริง หากอยู่ในช่วงที่ได้รับผลกระทบ ให้สำรองข้อมูล ไฟล์ตั้งค่า และฐานข้อมูลก่อนอัปเดต แล้วทำตามขั้นตอนอัปเกรดของ ownCloud โดยตรวจความเข้ากันได้ของแอปที่ติดตั้งร่วมกัน หลังอัปเดตให้ตรวจเลขรุ่นซ้ำ และทดลองเข้าใช้งาน อัปโหลด ดาวน์โหลด รวมถึงซิงก์ไฟล์ผ่าน WebDAV ด้วยบัญชีทดสอบที่ได้รับอนุญาต

ประกาศเฉพาะช่องโหว่นี้ไม่ได้ให้ workaround หากอัปเกรดไม่ได้ ลูกค้า Subscription ควรติดต่อทีมสนับสนุนเพื่อรับแพตช์ตามคำแนะนำผู้ผลิต

CISA กำหนดวันแก้ไขเป็น 30 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด และรายการนี้ระบุให้ทำ forensic triage ด้วย ผู้ดูแลทั่วไปควรใช้เป็นสัญญาณเร่งลำดับงาน ตรวจบันทึกการเข้าถึงและการเปลี่ยนแปลงไฟล์เพื่อหาร่องรอยผิดปกติควบคู่กับการแพตช์ เพราะการอัปเดตไม่ได้ย้อนคืนไฟล์ที่อาจถูกอ่าน แก้ไข หรือลบไปก่อนหน้า

ส่วนตัวผมให้เร่งแพตช์ทันที โดยเฉพาะระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2023-49105, CISA KEV — ownCloud Improper Authentication Vulnerability และ ownCloud: WebDAV Api Authentication Bypass using Pre-Signed URLs หากมีรายละเอียดจากประกาศเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ