CISA hat die kritische Schwachstelle CVE-2023-49105 (CVSS 9.8) in der ownCloud-Plattform in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen, nachdem Forschende von Hunt.io eine zielgerichtete Cyberspionage-Operation entdeckt hatten: Ein chinesischsprachiger Operator nutzte diese Schwachstelle, um Daten eines philippinischen nuklearen Forschungszentrums zu stehlen, darunter Bestandsaufzeichnungen zu Nuklearmaterial, strategische Planungen und Informationen zu Komponenten des Forschungsreaktors. Organisationen, die ownCloud core in den Versionen 10.6.0 bis 10.13.0 einsetzen, müssen umgehend auf Version 10.13.1 oder höher aktualisieren.
Technische Details der Schwachstelle CVE-2023-49105
CVE-2023-49105 ist eine Schwachstelle zur Umgehung der Authentifizierung in der WebDAV-API von ownCloud, die mit dem Mechanismus für vorab signierte URLs zusammenhängt. Laut Eintrag in der GitHub Advisory Database kann ein Angreifer in der Standardkonfiguration – also wenn für einen Benutzer kein Signaturschlüssel (signing key) gesetzt ist – allein mit Kenntnis des Benutzernamens signierte WebDAV-Anfragen konstruieren, die der Server als legitime Authentifizierung akzeptiert. Dies eröffnet vollständigen Dateizugriff: Lesen, Ändern und Löschen – ohne Eingabe jeglicher Anmeldedaten.
Die Schwachstelle betrifft ownCloud core in den Versionen von 10.6.0 bis einschließlich 10.13.0. Der Fix wurde in Version 10.13.1 veröffentlicht. Obwohl die Schwachstelle von ownCloud bereits im November 2023 offengelegt wurde, wird sie fast drei Jahre später noch immer in realen Angriffen ausgenutzt – was auf eine erhebliche Zahl ungepatchter Instanzen hindeutet.
Anatomie der Operation: Wie die Daten des Nuklearzentrums entwendet wurden
Nach Angaben von Hunt.io entdeckten Forschende am 13. August 2026 ein offenes Verzeichnis auf dem Server 31.58.209[.]241, das benutzerdefinierte Python-Skripte, offensive Open-Source-Tools (Sliver, Metasploit, Mettle) sowie exfiltrierte Daten zweier philippinischer Organisationen enthielt.
Die fünf gefundenen Python-Skripte implementierten einen Exploit für CVE-2023-49105, indem sie vorab signierte WebDAV-Anfragen mit leerem Signaturgeheimnis generierten. Vier Skripte zielten auf bestimmte Benutzerkonten, während das fünfte eine Aufzählung der WebDAV-Verzeichnisse durchführte und jeden Download-Versuch protokollierte.
Laut Einschätzung von Hunt.io lud der Operator 176 Dateien mit einem Gesamtvolumen von rund 372 MB aus einer ownCloud-Instanz des nuklearen Forschungszentrums herunter und verteilte sie auf fünf Zwischenverzeichnisse. Zu den mutmaßlich entwendeten Materialien gehörten:
- Bestandsaufzeichnungen zu Nuklearmaterial
- Entwürfe strategischer Pläne für die Jahre 2023–2028
- Informationen zu Komponenten des Reaktorkerns des Forschungsreaktors und historische Daten zu Brennstoffvorräten
- Personenbezogene Daten von Mitarbeitenden
- SQL-Dump der ZKTeco-BioTime-Datenbank (System für Zeiterfassung und Personalverwaltung) mit einem Umfang von 192 MB
- Credential-Speicher: BitLocker-Schlüssel, eine KeePass-Datenbank, mit AxCrypt verschlüsselte Dateien
Wichtiger Vorbehalt: In den Daten des Angreifers wurde eine CSV-Datei gefunden, die sich auf etwa 9 GB exfiltrierte Daten aus ownCloud bezieht; dieser Umfang wird jedoch durch den Inhalt der entdeckten Zwischenverzeichnisse nicht bestätigt und könnte frühere oder zusätzliche Sammlungsvorgänge widerspiegeln.
Zweites Ziel: Unternehmen für Marineingenieurwesen
Parallel dazu kompromittierte derselbe Operator nach Angaben von Hunt.io die WordPress-Website eines philippinischen Unternehmens für Marineingenieurwesen und Schiffbau, das Dienstleistungen für die philippinische Marine erbringt. Dafür kamen zwei voneinander unabhängige Angriffsvektoren zum Einsatz:
- CVE-2024-28000 (CVSS 9.8) – eine Schwachstelle zur nicht authentifizierten Privilegienerweiterung im WordPress-Plugin LiteSpeed Cache (betroffen sind Versionen von 1.9 bis 6.3.0.1, behoben in 6.4). Der Exploit ermöglichte es, über die REST-API ein neues Administratorkonto anzulegen.
- Das Skript
brute_xmlrpc.py– eine Brute-Force-Attacke auf Zugangsdaten über die XML-RPC-Schnittstelle von WordPress unter Verwendung der Wortliste rockyou.txt. In den Logs wurde ein übereinstimmendes Zugangsdaten-Paar gefunden.
Darüber hinaus fanden die Forschenden auf derselben WordPress-Site eine mutmaßlich nicht mit dem Hauptoperator verbundene Kompromittierung unter Verwendung der Technik EtherHiding: Schadcode extrahierte HTML-Inhalte aus einem Ethereum-Smart-Contract und zeigte eine gefälschte Google-Verifizierungsseite im ClickFix-Stil an, wodurch die Kette pcalua.exe → mshta.exe → VBScript-Dropper gestartet wurde.
Attribution und geopolitischer Kontext
Hunt.io stuft den Operator auf Grundlage des Vorkommens von vereinfachtem Chinesisch in Quellcode-Kommentaren, Dokumentationszeilen, Ausführungslogs und Verzeichnisnamen für die Sortierung der entwendeten Daten als chinesischsprachig ein. Es ist zu betonen: Sprachliche Artefakte untermauern lediglich eine linguistische Einordnung und erlauben nicht die Attribution der Aktivität zu einer bestimmten staatlichen Stelle oder bekannten APT-Gruppe.
Dennoch steht die Auswahl der Ziele – Nuklearforschungszentrum und Auftragnehmer der Marine der Philippinen – im Einklang mit Interessen im Zusammenhang mit der aktuellen Spannungen im Südchinesischen Meer. Die Art der entwendeten Materialien (Nuklearbestände, strategische Pläne, Reaktordaten) deutet auf eine gezielte nachrichtendienstliche Informationsbeschaffung hin und nicht auf einen finanziell motivierten Angriff.
Weitere Schwachstellen im KEV-Katalog
Gleichzeitig mit CVE-2023-49105 nahm CISA zwei weitere Schwachstellen in den KEV-Katalog auf:
- CVE-2026-53362 (CVSS 7.8) – eine Schwachstelle im Linux-Kernel im Zusammenhang mit der Verarbeitung von IPv6-Fragmentierung. Laut technischem Bericht von OpenAI nutzten die KI-Agenten des Unternehmens am 19. Juli 2026 diese Schwachstelle, um aus einem Artifactory-Container auszubrechen, Root-Zugriff auf einem Worker-Knoten zu erlangen und sich lateral zu bewegen.
- CVE-2026-66384 (CVSS 5.3) – eine Path-Traversal-Schwachstelle in JFrog Artifactory (betroffen sind Versionen unter 7.146.35 sowie 7.161.0 bis 7.161.15). Die KI-Agenten von OpenAI nutzten sie, um ein Container-Image im Cache zu manipulieren, wobei jedoch keine Hinweise darauf gefunden wurden, dass andere Workloads das manipulierte Image geladen haben.
OpenAI betont, dass die Ausnutzung beider Schwachstellen im Rahmen interner Sicherheitsbewertungen erfolgte und nicht mit der Ereigniskette verbunden war, die zur Kompromittierung von Hugging Face führte.
Indikatoren einer Kompromittierung
- IP-Adressen:
31.58.209[.]241 - Domains:
fine-work-team[.]com,timelevel12[.]com,snake.zooparkko[.]com - Hashes:
7447d0d0c34779d4c519823b39bf6ddc16d2b34a226b82ee69da6f5b4a77ad82,10df3451915ea35bcb17efe121415f24182680e2d07fc09df07ee695072104c1 - Ethereum-Smart-Contract (EtherHiding):
0x58460d0b3d4d6b03761c89120393c0c676676496
Empfehlungen
- ownCloud: Aktualisieren Sie core umgehend auf Version 10.13.1 oder höher. Falls ein Update nicht möglich ist – stellen Sie sicher, dass für alle Benutzer ein nicht-leerer Signaturschlüssel (signing key) gesetzt ist. Führen Sie ein Audit der WebDAV-Logs auf Anfragen mit vorab signierten URLs ohne gültige Signatur durch.
- WordPress + LiteSpeed Cache: Aktualisieren Sie das Plugin LiteSpeed Cache auf Version 6.4 oder höher. Deaktivieren Sie XML-RPC, sofern es nicht verwendet wird. Prüfen Sie die Liste der Administratoren auf nicht autorisiert angelegte Konten.
- Linux-Server und Artifactory: Spielen Sie Patches für CVE-2026-53362 und CVE-2026-66384 gemäß den Empfehlungen der Hersteller ein.
- Überprüfen Sie den Netzwerkverkehr auf Verbindungen zu den genannten Indikatoren einer Kompromittierung.
Dieser Vorfall zeigt, dass Schwachstellen, die vor Jahren offengelegt wurden, in den Händen zielgerichteter Operatoren ein weiterhin wirksames Angriffswerkzeug bleiben. CVE-2023-49105 wurde im November 2023 behoben, ermöglichte im August 2026 jedoch noch immer den Abzug Hunderter Dateien aus kritischer Infrastruktur. Organisationen, die ownCloud betreiben, sollten das Update auf 10.13.1 als Priorität der Stufe P0 betrachten und darüber hinaus eine rückblickende Analyse der WebDAV-Logs seit der Offenlegung der Schwachstelle durchführen, um mögliche frühere Kompromittierungen aufzudecken.
