LONDON (IT BOLTWISE) – Die US-Behörde CISA hat die ownCloud-Schwachstelle CVE-2023-49105 in den KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen. Die Lücke (CVSS 9,8) betrifft einen WebDAV-Authentifizierungs-Bypass und kann Dateien ohne Anmeldung verändern oder löschen. Laut den vorliegenden Berichten wurde sie gegen ein Forschungsinstitut auf den Philippinen eingesetzt. Für Behörden im US Federal Civilian Executive Branch gelten Fristen bis Ende August 2026 für das Patchen.
CISA hat eine weitere Schwachstelle aus dem „Active Exploited“-Kernbereich in seinen KEV-Katalog aufgenommen und damit die Dringlichkeit für Administratoren deutlich erhöht. Konkret geht es um CVE-2023-49105, die ownCloud in Versionen von 10.6.0 bis 10.13.0 betrifft und laut den Angaben im Februar-Umfeld inzwischen mit ownCloud 10.13.1 geschlossen wurde. Die Einstufung als kritisch (CVSS: 9,8) beruht auf einem WebDAV-API-Problem: Ein Angreifer kann die Authentifizierung umgehen und Dateien ohne Anmeldeprozess zugreifen, ändern oder löschen, sobald er einen gültigen Benutzernamen kennt und beim Zielsystem kein Signing-Key konfiguriert ist. In der Praxis ist das nicht „nur“ ein technischer Fehler, sondern ein Muster, das sich in vielen Umgebungen direkt in Verlust von Integrität und Vertraulichkeit übersetzt, weil WebDAV häufig als Datei- und Freigabe-Schnittstelle in Unternehmens- und Forschungsnetzwerken eingesetzt wird.
Der technische Kern lässt sich daran festmachen, wie die Angriffe mechanisch ablaufen sollen. In den vorliegenden Berichten wird beschrieben, dass die Angreifer vorab signierte WebDAV-URLs mit einem leeren Signing-Secret erzeugten, wodurch der Server diese Aktionen als Authentifizierung des betroffenen Nutzers akzeptieren sollte, ohne dass das eigentliche Benutzerpasswort übergeben werden muss. Das wirkt auf den ersten Blick widersprüchlich zu „WebDAV braucht Credentials“, erklärt sich aber über die Standardkonfiguration: Wenn kein Signing-Key gesetzt ist, kann der Server offenbar signierte Requests als gültige Authentifizierung behandeln. Diese Art von Bypass ist besonders gefährlich, weil sie den Angreifern nicht zwingend ein klassisches Passwortangriffsszenario abverlangt, sondern die Suche nach gültigen Benutzernamen in die Angriffsplanung verlagert. Genau hier setzen die beschriebenen Script-Sets an, die im Zielsystem offenbar ein Verzeichnis mit fünf Python-Skripten anlegten bzw. nutzten, um die Schwachstelle für CVE-2023-49105 auszunutzen.
Um die Auswirkung greifbar zu machen, nennen die Berichte eine konkret geschätzte Menge exfiltrierter Daten: Es sollen 176 Dateien mit insgesamt etwa 372 MB aus einer nuklearforschungsnahen Einrichtung heruntergeladen und in mehreren Staging-Verzeichnissen abgelegt worden sein. Dazu zählten unter anderem Kontoinformationen, Entwurfsunterlagen zu strategischen Plänen von 2023 bis 2028, Komponenten für Forschungsreaktoren, historische Brennstoffbestände sowie Präsentationsmaterial. Auffällig ist zudem die Breite der Datenklassen: Neben Dokumenten wurden auch Mitarbeiterinformationen und besonders sensible Artefakte genannt, darunter eine 192-GB? – nein, laut Text sind es 192 MB—SQL-Dump-Dateien aus einer ZKTeco BioTime Attendance- und Personnel-Datenbank sowie Credential-Stores wie BitLocker-Keys, eine KeePass-Datenbank und AxCrypt-verschlüsselte Dateien. Ergänzend heißt es, dass parallele Angriffe auch eine WordPress-Installation betrafen, die von einer weiteren Organisation betrieben wird, die im maritimen Engineering- und Schiffbauumfeld agiert und Leistungen für die philippinische Navy erbringen soll.
Für die technische Kette ist dabei weniger entscheidend, „welche“ Schwachstelle zuerst kam, sondern wie die Angreifer die Lücke nutzen konnten, um später weiter zu skalieren. Im WordPress-Kontext wird von einer kritischen Schwachstelle im LiteSpeed-Cache-Plugin (CVE-2024-28000, CVSS: 9,8) gesprochen, die offenbar genutzt wurde, um erhöhten Zugriff zu erreichen. Zusätzlich wird ein eigener Angriffsweg beschrieben: Ein Python-Skript (“brute_xmlrpc.py”) zielt auf XML-RPC und versucht, Kontodaten über ein Brute-Force-Schema zu erraten. Damit entsteht eine zweite, potenziell unabhängige Zugangsschiene, die nicht zwingend vom Plugin-Fehler abhängen muss. Die Berichte erwähnen außerdem eine weitere, „active, possibly unrelated“ Komponente, die über EtherHiding Inhalte aus einem Ethereum-Smart-Contract extrahieren und schließlich auf eine Google-Verifikationsseite führen soll, wie sie aus ClickFix-ähnlichen Umgebungen bekannt ist. Solche Multi-Stage-Setups sind typisch für Kampagnen, in denen sich die initiale Kompromittierung nicht mit dem eigentlichen Ziel der Datensuche deckt, sondern als Sprungbrett für weitere Credential-, Persistenz- und Exfiltrationsschritte dient.
Aus Sicht der Verteidigung ist die wichtigste Information der angekündigte Zeitplan für Patching innerhalb der US-Behörden. Für FCEB-Agenturen werden Fristen genannt: Für CVE-2023-49105 endet der Handlungsdruck demnach am 30. August 2026. Gleichzeitig ergänzt CISA den KEV-Katalog auch um zwei weitere Schwachstellen: CVE-2026-53362 im Linux-Kernel und CVE-2026-66384 bei Artifactory. Hintergrund ist, dass in einem erklärenden technischen Beitrag beschrieben wurde, OpenAI habe zuvor KI-Agenten eingesetzt, die diese Lücken ausnutzten, um eine eigene interne Infrastruktur anzugreifen. OpenAI betont dabei, dass diese Aktivitäten nicht Teil der Ereigniskette gewesen seien, die zur Kompromittierung einer weiteren Plattform geführt habe. Auch wenn solche Erkenntnisse primär aus der internen Sicherheitsarbeit stammen, bleibt die operative Konsequenz die gleiche: KEV-Einträge sind ein Signal dafür, dass Exploits in der Praxis angekommen sind, und nicht nur theoretisch möglich wären.
Für Unternehmen ergibt sich daraus eine doppelte Lehre. Erstens sollte der ownCloud-Stack nicht nur „aktualisiert“, sondern im Zusammenspiel mit WebDAV- und API-Konfigurationen überprüft werden, weil der Angriffsvektor an die Existenz bzw. Nicht-Existenz eines Signing-Keys gekoppelt ist. Es reicht also nicht, die Version im Inventory zu aktualisieren, wenn gleichzeitig Konfigurationsvarianten wie leere oder fehlende Secrets in Betriebssystemen, Container-Images oder Deployments weiterlaufen. Zweitens zeigt der WordPress-Teil der Berichte, wie schnell sich eine einzelne Serverkomponente als Einstiegspunkt in eine Kampagne verwandeln kann, wenn es daneben Pfade gibt, etwa über XML-RPC-Brute-Force oder Cache-Plugin-Fehler. Wer die genannten Fristen ernst nimmt, sollte deshalb Patch-Management mit einer gezielten Validierung der relevanten Services verbinden: WebDAV-Requests, XML-RPC-Zugriffe, auffällige Download-Muster und ungewöhnliche Script-Spuren in exponierten Verzeichnissen sind typische Indikatoren, die sich auch ohne tiefes Forensik-Setup frühzeitig prüfen lassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA nimmt ownCloud-Sicherheitslücke in KEV auf: Angriff auf PH-Labor" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA nimmt ownCloud-Sicherheitslücke in KEV auf: Angriff auf PH-Labor" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA nimmt ownCloud-Sicherheitslücke in KEV auf: Angriff auf PH-Labor« bei Google Deutschland suchen, bei Bing oder Google News!