CVE-2026-84473: ownCloud 서버에 무차별 대입 공격 보호 기능이 없어 무제한 비밀번호 추측이 가능함.

취약점 분류

CWE-307: 과도한 인증 시도에 대한 부적절한 제한 심각도

CVSS v3.1: 8.1 (높음)

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

이 점수는 영향을 받는 인증 흐름을 테스트하는 동안 관찰된 영향을 반영합니다.

영향을 받는 제품:

Owncloud 버전 10.16.3

기술 설명

영향을 받는 WebDAV 엔드포인트는 HTTP Authorization: Basic 헤더를 통해 인증 자격 증명을 받아들입니다.

예시 요청:

GET /remote.php/webdav/ HTTP/1.1 Host: target.example Authorization: Basic <BASE64(username:password)>

Base64 값은 다음을 나타냅니다:

username:password

동일한 계정에 대한 반복적인 인증 실패는 예상되는 무차별 대입 공격 보호 메커니즘을 작동시키지 않습니다.

테스트 중에 여러 차례 연속으로 잘못된 인증 시도를 제출했지만 다음은 관찰되지 않았습니다:

속도 제한

점진적 인증 지연

일시적 계정 잠금

HTTP 429 Too Many Requests

유효한 자격 증명을 사용한 후속 인증 시도는 여전히 허용되었습니다.

개념 증명

1단계 — WebDAV 인증 흐름에 접근

ownCloud에 인증하고 영향을 받는 WebDAV 인증 흐름을 사용하는 비공개 문서/공유에 대한 접근 권한을 획득합니다.

영향을 받는 엔드포인트에 접근하면 서버는 HTTP Basic 인증 챌린지를 제시합니다.

2단계 — 인증 요청 관찰

자격 증명은 HTTP Authorization 헤더를 통해 전송됩니다:

Authorization: Basic <BASE64(username:password)>

3단계 — 반복적인 인증 시도 수행

통제된 테스트 계정을 사용하여 잘못된 비밀번호가 포함된 인증 요청을 반복적으로 제출합니다.

예시 테스트 자격 증명:

testuser:incorrect-password-01 testuser:incorrect-password-02 testuser:incorrect-password-03 ...

요청은 Burp Suite Intruder 또는 다른 HTTP 테스트 도구를 사용하여 재현할 수 있습니다.

4단계 — 서버 동작 관찰

여러 차례 연속으로 인증에 실패한 후에도 서버는 효과적인 무차별 대입 공격 보호 메커니즘을 적용하지 않고 인증 요청을 계속 허용합니다.

일시적 잠금, 점진적 지연, 속도 제한 또는 HTTP 429 Too Many Requests 응답은 관찰되지 않습니다.

5단계 — 성공적인 인증 확인

올바른 자격 증명을 사용한 후속 요청은 정상적으로 허용됩니다.

이는 반복적인 인증 실패가 영향을 받는 WebDAV 인증 메커니즘을 통한 후속 비밀번호 추측 시도를 충분히 제한하지 못함을 보여줍니다.

전체 테스트를 보여주는 짧은 PoC 영상이 이 연구에 포함되어 있습니다.

영향

영향을 받는 WebDAV 인증 엔드포인트에 접근할 수 있는 공격자는 효과적인 애플리케이션 수준의 무차별 대입 공격 보호 기능을 마주치지 않고 사용자 계정에 대해 비밀번호를 반복적으로 시도할 수 있습니다.

비밀번호 추측이 성공하면 해당 계정의 권한과 접근 권한에 따라 대상 ownCloud 계정 및 관련 리소스에 대한 무단 접근이 발생할 수 있습니다.

따라서 이 취약점은 영향을 받는 인증 흐름을 통해 노출된 계정에 대한 온라인 비밀번호 추측 공격의 실행 가능성을 높입니다.

권장 완화 조치

WebDAV 인증 흐름은 애플리케이션의 기존 무차별 대입 공격 보호 메커니즘과 통합되어야 합니다.

권장 제어 항목은 다음과 같습니다:

각 계정 및/또는 소스에 대한 인증 실패 시도 추적.

반복적인 인증 실패 후 점진적 지연 적용.

구성 가능한 최대 연속 실패 횟수 적용.

구성된 임계값에 도달한 후 추가 인증 시도를 일시적으로 거부.

rate limiting이 트리거되면 HTTP 429 Too Many Requests를 반환합니다.

WebDAV에서 사용하는 HTTP Basic Authentication을 포함한 모든 인증 메커니즘에 걸쳐 보호를 일관되게 적용합니다.

대체 인증 메커니즘이나 엔드포인트를 사용하여 애플리케이션의 기존 무차별 대입 보호를 우회할 수 없도록 합니다.

가능한 정책 중 하나는 구성 가능한 연속 실패 횟수(예: 10회 시도) 이후 인증을 일시적으로 제한하는 것입니다. 정확한 임계값과 제한 기간은 애플리케이션의 보안 요구 사항에 따라 결정해야 합니다.

참고 자료

ownCloud Server: https://github.com/owncloud/core

연구자

ETC JSC 보안 팀을 대표한 Hoang126

보안 연구 및 책임 있는 공개.

면책 조항

본 연구는 보안 테스트 및 책임 있는 공개 목적으로 수행되었습니다.

테스트는 통제된 환경에서 수행되었습니다. 제3자 계정이나 데이터에 대한 무단 접근은 수행되지 않았습니다.

CVE-2026-84473

인기