情報取得日: 2026/08/27・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2023-49105 |
|---|---|
| 製品 | ownCloud / ownCloud core 10.6.0 以上 10.13.1 未満（ベンダー告知の記載は 10.6.0〜10.13.0 が該当）。修正は core 10.13.1。 |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-665 不適切な初期化 |
| 登録／公開日 | 2026/08/27 |
| KEV 期限 | 2026/08/30 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2023-49105 |
ownCloud の WebDAV API で、事前署名 URL（pre-signed URL）の検証が不十分なため、認証を経ずに任意のファイルを読み取り・改変・削除できる。成立条件は2つで、①被害者のユーザ名が分かっていること、②そのファイル所有者に署名鍵（signing-key）が設定されていないことである。②は既定の状態であり、ベンダー告知も「署名鍵が設定されていない（これが既定である）」と明記している。つまり特別な設定変更をしていない環境ほど成立しやすい。 原因は、所有者に署名鍵が設定されていないときにも事前署名 URL を受け付けてしまう実装にある。署名の検証が「鍵が無いので検証をしない」という形に倒れており、CWE-665（不適切な初期化）に分類されている。修正は「所有者に署名鍵が設定されていない場合は事前署名 URL の使用を拒否する」という形で入った。 CVSS は NVD で 3.1 の 9.8（Critical）、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。ネットワーク経由（AV:N）・認証不要（PR:N）・利用者操作不要（UI:N）で、機密性・完全性・可用性のすべてが High に振れている。 CVE 自体は 2023 年 11 月に公開された古いものだが、CISA が 2026-08-27 に KEV へ収載し、是正期限を 2026-08-30 に設定した（カタログ 2026.08.27 で確認）。つまり「3年前の既知の脆弱性が、いま現に悪用されている」という位置づけである。NVD の参照には、フィリピンの原子力・海軍関連の請負企業を標的とした攻撃活動に関する報告も並んでいる。ランサムウェアでの利用は Unknown とされている。 該当は core 10.6.0 以降で、修正は 10.13.1 である。同時期に ownCloud では graphapi 拡張の環境変数漏えい（CVE-2023-49103）など複数の重大な問題が公表されており、当時から放置されている環境ではそれらも併せて残っている可能性が高い。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | ベンダーFW更新 |
EC2 上で ownCloud を運用している場合、AWS 側の修正は無い。core 10.13.1 以降へ更新する。
ALB / セキュリティグループで WebDAV への到達元を絞ることは攻撃面の縮小にあたるが、ベンダーの回避策ではない。社外共有のために公開している構成では、そもそも絞れないことが多い。
参照リンク
|
| GCP | ベンダーFW更新 |
Compute Engine / GKE 上で運用している場合も同様に、core 10.13.1 以降へ更新する。GCP 側の対応は不要。
外部 IP や Cloud Load Balancing で公開している構成では AV:N の攻撃面がそのまま開いている。
参照リンク
|
| Azure | ベンダーFW更新 |
Azure VM / AKS 上で運用している場合も同様に、core 10.13.1 以降へ更新する。Azure 側の対応は不要。
NSG や Application Gateway で到達元を絞る場合も、あくまで緩和であって修正ではない。
参照リンク
|
| Linux | 対象外 |
ownCloud は主要ディストリのセキュリティ更新で配布される形ではなく、ownCloud が配布する tarball / Docker イメージで更新する。ディストリ側の修正は無い。
Docker で運用している場合はイメージのタグを 10.13.1 以降へ上げて入れ替える。コンテナ内で個別にパッチを当てる運用にしないこと。
参照リンク
|
是正期限が 2026-08-30 と短く、しかも既定設定で成立する。まず自組織に ownCloud が残っているかどうかの棚卸しから始めるのが実際的である。 該当判定は単純で、ownCloud core が 10.6.0 以上 10.13.1 未満なら該当する。バージョンは管理画面か occ コマンドで確認できる。ここで重要なのは、署名鍵を設定していない既定のままなら成立するという点で、「特殊な設定はしていないから大丈夫」という推定は逆向きに誤っている。 対処は core 10.13.1 以降への更新である。ベンダー告知が示した修正内容は「所有者に署名鍵が無い場合は事前署名 URL を拒否する」というもので、これはアップデートに含まれる。設定だけで塞ぐ回避策は公表されていない。 更新までに時間が要る場合の緩和として、WebDAV エンドポイントへの到達元をネットワークで絞ることが考えられるが、これはベンダーが示した回避策ではないので、恒久策として記録しないこと。ownCloud は社外共有のために公開されている構成が多いため、そもそも到達元を絞れないケースが少なくない。 更新後の後始末を忘れないこと。この脆弱性は認証を経ずにファイルの読み取り・改変・削除ができるものなので、更新は「これ以上やられない」ための処置であって、既に何をされたかは別途確認が要る。WebDAV のアクセスログを、事前署名 URL を使った要求に絞って遡り、心当たりのない要求が無いかを見る。KEV に載っている以上、悪用は現に起きている前提で調べるのが妥当である。 なお、この時期の ownCloud には他にも重大な公表が複数ある。10.13.1 未満で止まっている環境は、本件だけを個別に当てるのではなく、当該系列の最新へ上げるほうが結果的に早い。
Critical（CVSS 9.8）に分類されるownCloud ownCloud core 10.6.0 以上 10.13.1 未満（ベンダー告知の記載は 10.6.0〜10.13.0 が該当）。修正は core 10.13.1。の脆弱性です。ownCloud の WebDAV API で、事前署名 URL（pre-signed URL）の検証が不十分なため、認証を経ずに任意のファイルを読み取り・改変・削除できる。成立条件は2つで、①被害者のユーザ名が分かっていること、②そのファイル所有者に署名鍵（signing-key）が設定されていないことである。②は既定の状態であり、ベンダー告知も「署名鍵が設定されていない（これが既定である）」と明記している。つまり特別な設定変更をしていない環境ほど成立しやすい。 原因は、所有者に署名鍵が設定されていないときにも事前署名 URL を受け付けてしまう実装にある。署名の検証が「鍵が無いので検証をしない」という形に倒れており、CWE-665（不適切な初期化）に分類されている。修正は「所有者に署名鍵が設定されていない場合は事前署名 URL の使用を拒否する」という形で入った。 CVSS は NVD で 3.1 の 9.8（Critical）、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。ネットワーク経由（AV:N）・認証不要（PR:N）・利用者操作不要（UI:N）で、機密性・完全性・可用性のすべてが High に振れている。 CVE 自体は 2023 年 11 月に公開された古いものだが、CISA が 2026-08-27 に KEV へ収載し、是正期限を 2026-08-30 に設定した（カタログ 2026.08.27 で確認）。つまり「3年前の既知の脆弱性が、いま現に悪用されている」という位置づけである。NVD の参照には、フィリピンの原子力・海軍関連の請負企業を標的とした攻撃活動に関する報告も並んでいる。ランサムウェアでの利用は Unknown とされている。 該当は core 10.6.0 以降で、修正は 10.13.1 である。同時期に ownCloud では graphapi 拡張の環境変数漏えい（CVE-2023-49103）など複数の重大な問題が公表されており、当時から放置されている環境ではそれらも併せて残っている可能性が高い。
是正期限が 2026-08-30 と短く、しかも既定設定で成立する。まず自組織に ownCloud が残っているかどうかの棚卸しから始めるのが実際的である。 該当判定は単純で、ownCloud core が 10.6.0 以上 10.13.1 未満なら該当する。バージョンは管理画面か occ コマンドで確認できる。ここで重要なのは、署名鍵を設定していない既定のままなら成立するという点で、「特殊な設定はしていないから大丈夫」という推定は逆向きに誤っている。 対処は core 10.13.1 以降への更新である。ベンダー告知が示した修正内容は「所有者に署名鍵が無い場合は事前署名 URL を拒否する」というもので、これはアップデートに含まれる。設定だけで塞ぐ回避策は公表されていない。 更新までに時間が要る場合の緩和として、WebDAV エンドポイントへの到達元をネットワークで絞ることが考えられるが、これはベンダーが示した回避策ではないので、恒久策として記録しないこと。ownCloud は社外共有のために公開されている構成が多いため、そもそも到達元を絞れないケースが少なくない。 更新後の後始末を忘れないこと。この脆弱性は認証を経ずにファイルの読み取り・改変・削除ができるものなので、更新は「これ以上やられない」ための処置であって、既に何をされたかは別途確認が要る。WebDAV のアクセスログを、事前署名 URL を使った要求に絞って遡り、心当たりのない要求が無いかを見る。KEV に載っている以上、悪用は現に起きている前提で調べるのが妥当である。 なお、この時期の ownCloud には他にも重大な公表が複数ある。10.13.1 未満で止まっている環境は、本件だけを個別に当てるのではなく、当該系列の最新へ上げるほうが結果的に早い。
ownCloud ownCloud core 10.6.0 以上 10.13.1 未満（ベンダー告知の記載は 10.6.0〜10.13.0 が該当）。修正は core 10.13.1。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2023-49105）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/30 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。