ownCloud CVE-2023-49105 no KEV: prove exposição e trate possível acesso a ficheiros

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2023-49105 ao KEV em 27 de agosto e descreve acesso, modificação ou eliminação de ficheiros sem autenticação quando o nome da vítima é conhecido e não existe signing-key configurada. Para entidades federais abrangidas, o feed fixa 30 de agosto; fora dessa jurisdição, exploração conhecida continua a justificar resposta urgente baseada em risco.

A entrada KEV confirma exploração conhecida desta CVE; não identifica automaticamente vítimas específicas nem prova compromisso num ativo concreto. A descrição da CISA inclui condições sobre conhecimento do username e ausência de signing-key, que devem ser verificadas diretamente na configuração.

O prazo KEV citado decorre de uma diretiva federal norte-americana; organizações portuguesas devem distinguir jurisdição de sinal técnico. Um scanner pode confirmar pacote e versão sem ver proxies, configuração de chaves, réplicas antigas ou logs já eliminados. Corrigir hoje sem investigar a janela anterior pode restaurar disponibilidade enquanto deixa acesso indevido sem resposta.

Decisão, limites e condição de bloqueio

Não limite a ação a instalar uma versão. Determine se a configuração vulnerável existiu, durante que intervalo, que ficheiros e identidades estavam expostos, se houve pedidos compatíveis com abuso e se credenciais ou dados derivados exigem rotação, notificação ou investigação adicional.

Um scanner pode confirmar pacote e versão sem ver proxies, configuração de chaves, réplicas antigas ou logs já eliminados. Corrigir hoje sem investigar a janela anterior pode restaurar disponibilidade enquanto deixa acesso indevido sem resposta.

Execução e prova de conclusão

A execução deve começar por localizar instâncias, containers, appliances, forks e serviços geridos, registando versão, configuração, exposição e dono. Depois, conter acesso externo se necessário, preservar logs e snapshots e aplicar a correção ou mitigação indicada pelo fornecedor. O fecho exige procurar pedidos, alterações e acessos a ficheiros na janela vulnerável e rodar segredos quando a exposição não puder ser excluída.

O incidente fecha quando presença e configuração foram verificadas em todas as fontes, a correção é demonstrada, a janela histórica foi analisada e uma decisão documentada cobre rotação, notificação e monitorização residual.

• localizar instâncias, containers, appliances, forks e serviços geridos, registando versão, configuração, exposição e dono.
• conter acesso externo se necessário, preservar logs e snapshots e aplicar a correção ou mitigação indicada pelo fornecedor.
• procurar pedidos, alterações e acessos a ficheiros na janela vulnerável e rodar segredos quando a exposição não puder ser excluída.
• O incidente fecha quando presença e configuração foram verificadas em todas as fontes, a correção é demonstrada, a janela histórica foi analisada e uma decisão documentada cobre rotação, notificação e monitorização residual.