CVE-2023-49105: ownCloud 인증 우회 취약점, KEV 등재와 Hunt.io 실제 악용 확인

CVE-2023-49105는 ownCloud의 Pre-Signed URL 메커니즘을 악용해 인증을 거치지 않고 파일에 접근하는 취약점입니다. 실제 필리핀 핵연구기관 등을 겨냥한 침해가 확인되면서 CISA KEV(Known Exploited Vulnerabilities) 카탈로그에 이름을 올렸습니다.

CVE-2023-49105란? ownCloud WebDAV pre-signed URL 인증 우회 취약점

CVE-2023-49105는 ownCloud의 owncloud/core 10.13.1 이전 버전에서 발생하는 심각한 인증 우회 취약점입니다. WebDAV API의 Pre-Signed URL 메커니즘에 있는 구조적 결함을 이용해 인증 없이 파일에 접근합니다.

조건은 두 가지입니다. 공격자가 특정 사용자 계정의 사용자명을 알고 있고, 그 계정에 서명 키(signing key)가 설정되지 않은 상태면 별도의 자격 증명 없이도 해당 계정의 파일을 열람, 수정, 삭제할 수 있습니다. 문제는 신규 설치 시 기본 상태로 서명 키가 설정되지 않는 경우가 많다는 점입니다. Docker 기반 설치뿐 아니라 모든 설치 환경에 영향을 미칩니다.

취약점이 가져오는 영향은 크게 두 가지입니다.

1. 기밀성 침해: 인증 없이 특정 사용자 계정의 민감한 파일이 그대로 노출됩니다.
2. 무결성 및 가용성 침해: 인증 없이 파일이 임의로 수정되거나 삭제됩니다.

CISA KEV 등재: 2026-08-27 등재 경위와 대응 기한

미국 사이버보안 및 인프라 보안국(CISA)은 2026년 8월 27일 CVE-2023-49105를 KEV(Known Exploited Vulnerabilities) 카탈로그에 공식 등재했습니다. KEV에 오른 취약점은 이론상 위험이 아니라 실제 공격에 악용되고 있다는 뜻입니다. 그래서 미국 연방 정부 기관과 관련 조직에는 2026년 8월 30일까지 대응 조치를 마치라는 기한(Due Date)이 부여됐습니다.

CISA는 이 취약점을 ‘Improper Authentication Vulnerability’로 정의하면서, 피해자의 사용자명이 알려지고 signing-key가 설정되지 않으면 모든 파일에 대한 접근 및 제어가 가능하다고 명시했습니다.

실제 악용 사례: 필리핀 핵연구기관 표적 공격

보안 분석 기업 Hunt.io는 CVE-2023-49105가 실제 공격에 쓰인 사례를 보고했습니다. 표적은 필리핀 핵연구기관(Philippine Nuclear Agency)과 해군 계약업체(Naval Contractor)로 확인됐습니다.

2026년 8월 13일, Hunt.io는 암스테르담 소재 서버에서 필리핀 핵연구기관의 인터넷 노출 ownCloud 인스턴스를 노린 침해 흔적이 담긴 오픈 디렉터리를 발견했습니다. 공격자가 생성한 CSV 파일에는 약 9GB의 데이터가 유출된 것으로 기록돼 있었고, 스테이징 폴더에는 약 372MB(176개 파일) 분량의 자료가 확보돼 있었습니다.

공격을 수행한 운영자는 중국어 사용자로 추정되는(suspected Chinese-speaking) 인물로 특정됐습니다.

공격 기법 분석: OC-Credential 위장과 빈 시크릿 서명 악용

공격의 출발점은 서명 키가 설정되지 않은 인스턴스에서 ‘빈 시크릿(empty secret)’ 상태로 서명 루틴이 실행된다는 점입니다. 공격 절차는 이렇습니다.

1. 계정 식별: 먼저 유효한 사용자명을 확보합니다.
2. 요청 위장: OC-Credential 헤더에 위장할 계정명을 넣습니다.
3. 서명 생성: 빈 바이트 리터럴(b"")을 signing secret으로 취급하는 서명 루틴(hashlib.pbkdf2_hmac 등)으로 유효한 서명을 만들어냅니다.
4. 데이터 수신: /remote.php/dav/files/<account>/<path> 엔드포인트로 GET 요청을 보내 해당 계정의 파일을 받아 갑니다.

Hunt.io가 관측한 공격자는 탐지를 피하려고 요청마다 1.5초에서 6초 사이의 랜덤한 지연 시간(random sleep)을 뒀습니다. 공격에는 커스텀 파이썬 스크립트가 총 5개 동원됐는데, 표적 계정별 스크립트 4개와 계정 열거용 스크립트 1개였습니다.

복구 및 완화 조치

시스템을 지키는 길은 아래 조치부터입니다.

1. 소프트웨어 업데이트 및 패치

가장 확실한 해결책은 취약점이 해결된 버전으로 업그레이드하는 것입니다. 2023년 11월 취약점이 공개됐을 당시에는 10.13.1 이전 버전이 취약한 것으로 알려졌지만, 보안 전문가들은 최종적으로 ownCloud 10.13.3 이상으로 업그레이드하거나 벤더의 특정 패치를 적용하도록 권고하고 있습니다.

2. 서명 키(Signing Key) 설정

Pre-Signed URL 메커니즘을 쓰는 배포 환경이라면 강한 서명 키(signing key/secret) 설정이 필수입니다. 공격 스크립트는 서명 키가 비어 있는 상태를 전제로 동작하므로, 강력한 비밀 키 하나만 설정해도 해당 공격 벡터는 차단됩니다.

3. 탐지 및 모니터링

이미 침해되었을 가능성이 있는 시스템에서는 아래 로그 패턴이 이상 징후를 가려내는 단서가 됩니다.

• WebDAV PROPFIND 메서드로 계정과 파일을 열거하는 시도
• 단일 IP에서 서로 다른 다수의 사용자 계정으로 파일 수신 요청이 발생하는 경우

시점 비교: 2023년 공개 당시와 2026년의 상황

CVE-2023-49105가 처음 공개된 것은 2023년 11월입니다. 당시 일부 보안 매체는 이 취약점을 분석하면서 실제 야생(in the wild)에서는 악용 사례가 관찰되지 않았다고 보고했습니다.

그런데 2026년에 들어 상황이 달라졌습니다. Hunt.io가 필리핀 핵연구기관 등 국가 주요 기관을 겨냥한 구체적인 공격 스크립트와 데이터 유출 사례를 확인한 것입니다. 공개된 지 오래된 취약점이라도 패치가 적용되지 않은 인스턴스가 남아 있으면 공격자가 이를 끝까지 찾아 정교한 자동화 스크립트로 공격한다는 뜻입니다. 이 취약점이 CISA KEV에 등재되어 최우선 대응 과제가 된 배경입니다.