CVE-2023-49105: un bug ownCloud del 2023 usato per rubare dati…

Il 27 agosto 2026 CISA ha inserito nella sua Known Exploited Vulnerabilities catalog la CVE-2023-49105, un bypass dell'autenticazione in ownCloud con punteggio CVSS

{"main_topic":"cybersecurity","topics":["cybersec","vulnerabilita","cve","nuclear","exploit"]}

Il 27 agosto 2026 CISA ha inserito nella sua Known Exploited Vulnerabilities catalog la CVE-2023-49105, un bypass dell'autenticazione in ownCloud con punteggio CVSS 9.8 risalente al novembre 2023. L'inserimento non è amministrativo: segue la scoperta, operata da Hunt.io il 13 agosto, di un server aperto avente 1.310 file in 86 sottodirectory contenenti exploit personalizzati, strumenti offensivi e dati rubati a un ente di ricerca nucleare delle Filippine. La linea temporale — 2 anni e 10 mesi tra patch e sfruttamento attivo — disegna un caso studio sulla persistenza delle N-day in infrastrutture critiche scarsamente inventariate.

Punti chiave

La CVE-2023-49105 colpisce ownCloud 10.6.0-10.13.0: il server accetta URL pre-firmati con chiave di firma vuota, permettendo operazioni WebDAV senza credenziali per utenti noti.
L'istanza violata appartiene a un corpo di ricerca nucleare filippino non identificato per nome nelle fonti; i dati esfiltrati includono inventari di combustibile, componenti del reattore, piani strategici 2023-2028 e informazioni personali del personale.
Hunt.io ha attribuito l'operazione a un operatore di lingua cinese con confidenza media, senza nominare un APT specifico; la fonte non esclude profili indipendenti o appaltatori.
Le agenzie federali statunitensi soggette a BOD 26-04 devono applicare la patch entro il 30 agosto 2026.

Il meccanismo: come una chiave di default abilita l'accesso senza password

La vulnerabilità risiede nell'implementazione dell'API WebDAV di ownCloud quando la chiave di firma non è configurata. Secondo il record ufficiale CVE, le versioni 10.6.0 fino alla 10.13.0 accettano richieste con parametro di firma calcolato su stringa vuota. Un attaccante che conosca uno username valido può costruire URL pre-firmati che il server convalida come autenticazione legittima dell'utente.

Secondo la fonte, cinque script Python personalizzati implementavano questa logica: quattro puntavano su account specifici, il quinto usava il metodo PROPFIND per enumerare directory e identificare file ricorsivamente. Per eludere rilevamenti, gli script inserivano ritardi casuali compresi tra 1,5 e 6 secondi tra le richieste.

La correzione è disponibile dalla versione 10.13.1, rilasciata nel novembre 2023. L'assenza di aggiornamento nell'istanza filippina ha creato una finestra di esposizione di quasi tre anni, esemplificando il divario tra disponibilità della patch e applicazione effettiva in segmenti dell'infrastruttura nazionale.

I dati rubati: dall'inventario del reattore ai badge biometrici

Nelle directory di staging visibili sul server attaccante, Hunt.io ha recuperato 176 file per circa 372 MB, distribuiti in cinque cartelle. Il contenuto, secondo le fonti, spazia da record contabili di materiale nucleare a piani strategici non ancora pubblicati, da specifiche di componenti del nocciolo del reattore a documenti di sicurezza radiologica.

Un dump SQL da 192 MB relativo a ZKTeco BioTime — sistema di gestione presenze biometriche — è risultato tra i file recuperati. Sono inoltre emerse chiavi BitLocker, un database KeePass e file crittografati con AxCrypt. Le fonti non specificano se questi archivi di credenziali siano stati decifrati dagli attaccanti. Una tabella CSV di inventario dell'attaccante indicava un totale di circa 9 GB di dati esfiltrati dall'agenzia nucleare: la discrepanza con i 372 MB visibili suggerisce che parte del materiale sia stata rimossa dal server di staging prima della scoperta, oppure che i file non fossero interamente ospitati nella directory esposta.

Le cartelle erano etichettate in cinese semplificato con categorie operative: finanza, sicurezza radiologica, conti materiali nucleari, pianificazione IT.

"An attacker with knowledge of valid usernames on the instance could construct signed WebDAV requests that would be accepted by the server as an authentication action by that user, without ever supplying credentials" — Hunt.io via The Hacker News

L'infrastruttura dell'attaccante: Amsterdam, throttling e secondo bersaglio

Il server esposto, individuato all'indirizzo 31.58.209[.]241 sulla porta 8000, risulta registrato a CGI Global Limited con sede ad Amsterdam. La localizzazione dell'infrastruttura non coincide con l'origine geografica degli obiettivi né con la lingua dell'operatore, indicando uso di hosting commerciale terzo.

Parallelamente all'intrusione nucleare, gli stessi script o una campagna coordinata hanno colpito una seconda organizzazione filippina: un'azienda di ingegneria navale e cantieristica che fornisce servizi alla Marina filippina. Questa seconda violazione ha sfruttato la CVE-2024-28000, un'altra falla con punteggio CVSS 9.8, nel plugin LiteSpeed Cache per WordPress. Le fonti non convergono sul rapporto causale tra le due intrusioni: una fonte indica l'ipotesi che siano operazioni separate.

Hunt.io ha valutato l'operazione come raccolta di intelligence mirata piuttosto che sfruttamento indiscriminato, con confidenza media. La motivazione geografica — tensioni nel Mar Cinese Meridionale per il bersaglio navale, priorità complementari per il nucleare — è evidenziata nelle fonti come contesto, non come prova di affiliazione statale.

Perché è importante

Il dossier non documenta misure correttive adottate dall'ente nucleare filippino successivamente alla scoperta. Il brief non specifica se altre istituzioni siano state compromise dallo stesso operatore, né se le credenziali estratte siano state oggetto di abuso secondario.

Cosa il provvedimento citato non chiarisce: l'identità esatta del corpo di ricerca nucleare; se l'operatore sia stato individuato o se prosegua attività; se i 9 GB di dati indicati nella tabella dell'attaccante includano materiali oltre a quelli parzialmente recuperati; se la compromissione WordPress sia tecnicamente collegata alla stessa infrastruttura di comando. Il TLP:AMBER della disclosure a CERT-PH ha ritardato la pubblicazione al 25 agosto 2026, lasciando un intervallo di dodici giorni tra scoperta e visibilità pubblica.

Per le organizzazioni che mantengono istanze ownCloud legacy, il caso evidenzia un profilo di rischio: versioni non aggiornate con chiave di firma non configurata restano vulnerabili a bypass completi dell'autenticazione su protocolli standard (WebDAV/PROPFIND), con impatto potenziale su confidenzialità e integrità dei file.

Cosa fare adesso

Verificare la configurazione della chiave di firma ownCloud: l'assenza di signing-key è la condizione che abilita l'attacco documentato.
Aggiornare ownCloud alla versione 10.13.1 o successiva per chiudere la CVE-2023-49105.
Rivedere i log WebDAV per richieste PROPFIND anomale, in particolare con pattern di enumerazione ricorsiva e ritardi distribuiti nel tempo.
Le agenzie federali statunitensi soggette a BOD 26-04 hanno termine al 30 agosto 2026 per l'applicazione della patch.

L'incidente non richiede interpretazioni geopolitiche forzate per essere significativo: un bug noto dal 2023, con patch disponibile, ha consentito l'accesso a dati nucleari e difesa per quasi tre anni. La distanza tra disclosure e remediation effettiva resta il punto di attrito maggiore nella catena di difesa.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter