Manche Lücken sterben einfach nicht. Die US-Behörde CISA hat am 27. August drei Schwachstellen neu in ihren Katalog der aktiv ausgenutzten Lücken aufgenommen — und die interessanteste davon stammt aus dem Jahr 2023.
Es geht um CVE-2023-49105 in ownCloud. Wenn du selbst eine Dateiablage betreibst, lies bitte weiter.
DREI NEUE EINTRÄGE AUF EINEN SCHLAG
Die CISA-Meldung vom Donnerstag listet:
- CVE-2023-49105 — ownCloud, fehlerhafte Authentifizierung
- CVE-2026-53362 — Linux-Kernel, Details noch nicht öffentlich beschrieben
- CVE-2026-66384 — JFrog Artifactory, Pfad-Ausbruch aus einem eingeschränkten Verzeichnis
Aufnahme in diesen Katalog heißt nicht „theoretisch gefährlich“. Sie heißt: Es gibt Belege für echte Angriffe. US-Behörden müssen dann innerhalb einer festen Frist patchen. Für dich ist das ein sehr direktes Signal.
WAS DIE OWNCLOUD-LÜCKE ANRICHTET
Der Fehler steckt in der WebDAV-Schnittstelle und ihrem Umgang mit vorsignierten URLs. Wenn für einen Nutzer kein Signing-Key gesetzt ist, kann ein Angreifer Dateien lesen, ändern oder löschen — ohne Anmeldung. Er muss dafür nur den Benutzernamen kennen.
Der CVSS-Wert liegt bei 9,8. Betroffen sind laut ownCloud die Versionen 10.6.0 bis 10.13.0. Der Fix ist 10.13.3 oder ein Patch über den Support.
Ein Stück Entwarnung gehört dazu: Die Ausnutzung setzt voraus, dass für den betroffenen Nutzer kein Signing-Key konfiguriert ist — und das ist im Standardfall gesetzt. Wer eine saubere, aktuelle Installation fährt, ist also nicht automatisch offen. Gefährlich wird es bei alten, mitgeschleppten Instanzen und ungewöhnlichen Konfigurationen.
WARUM ES GERADE JETZT WIEDER HOCHKOCHT
Die Lücke ist seit Ende 2023 bekannt und wurde damals schon massenhaft gescannt. Dass sie drei Jahre später im KEV-Katalog landet, sagt vor allem eines: Es stehen noch immer genug ungepatchte Server im Netz, dass sich das Scannen für Angreifer lohnt.
Dokumentiert ist unter anderem ein Fall, in dem Angreifer CVE-2023-49105 in ownCloud mit einer WordPress-Lücke kombinierten, um Daten aus Behörden- und Zulieferer-Netzen abzuziehen.
SO PRÜFST DU DEINE INSTANZ IN 5 MINUTEN
- Version feststellen. In der Weboberfläche unter Einstellungen → Allgemein, oder auf der Konsole per
occ status. - Liegt sie zwischen 10.6.0 und 10.13.0? Dann direkt auf 10.13.3 oder höher heben.
- Signing-Keys kontrollieren. Konten ohne gesetzten Key sind das eigentliche Einfallstor.
- Logs durchsehen. Ungewöhnliche WebDAV-Zugriffe ohne vorherige Anmeldung sind das Warnsignal.
- Erreichbarkeit prüfen. Muss deine Instanz wirklich offen im Internet stehen? Ein VPN oder Reverse-Proxy mit Zugangsschutz nimmt enorm Druck raus.
UND WENN DU LÄNGST NEXTCLOUD NUTZT?
Dann betrifft dich diese CVE nicht — sie ist spezifisch für ownCloud. Die Lehre gilt trotzdem: Alte, vergessene Dienste sind das Lieblingsziel automatisierter Scanner. Der Testserver von vor zwei Jahren, den niemand mehr anfasst, ist gefährlicher als jede brandneue Lücke.
FAZIT: NICHT PANISCH, ABER HEUTE NACHSEHEN
Die Lücke ist alt, der Patch existiert seit Jahren, und der Standardfall schützt dich. Trotzdem: Der KEV-Eintrag bedeutet reale Angriffe. Fünf Minuten Versionscheck sind billiger als jede Wiederherstellung.