kobukovui/cve-2026-84473Pesquisa de segurança e divulgação de vulnerabilidades para o aplicativo ownCloud ONLYOFFICE Integration, incluindo análise técnica, PoCs, impacto e remediação.
CWE-307: Restrição inadequada de tentativas excessivas de autenticação Severidade
CVSS v3.1: 8.1 (Alta)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
A pontuação reflete o impacto observado durante os testes do fluxo de autenticação afetado.
Owncloud versão 10.16.3
O endpoint WebDAV afetado aceita credenciais de autenticação por meio do cabeçalho HTTP Authorization: Basic.
Requisição de exemplo:
GET /remote.php/webdav/ HTTP/1.1 Host: target.example Authorization: Basic <BASE64(username:password)>
O valor Base64 representa:
username:password
Falhas de autenticação repetidas contra a mesma conta não acionam os mecanismos esperados de proteção contra força bruta.
Durante os testes, múltiplas tentativas consecutivas de autenticação inválida foram enviadas sem que se observasse:
Limitação de taxa
Atrasos progressivos de autenticação
Bloqueio temporário da conta
HTTP 429 Too Many Requests
Uma tentativa de autenticação subsequente usando credenciais válidas ainda foi aceita.
Etapa 1 — Acessar o Fluxo de Autenticação WebDAV
Autentique-se no ownCloud e obtenha acesso a um documento/compartilhamento privado que utilize o fluxo de autenticação WebDAV afetado.
Ao acessar o endpoint afetado, o servidor apresenta um desafio de Autenticação Básica HTTP.
Etapa 2 — Observar a Requisição de Autenticação
As credenciais são transmitidas por meio do cabeçalho HTTP Authorization:
Authorization: Basic <BASE64(username:password)>
Etapa 3 — Realizar Tentativas de Autenticação Repetidas
Usando uma conta de teste controlada, envie repetidamente requisições de autenticação contendo senhas inválidas.
Credenciais de teste de exemplo:
testuser:incorrect-password-01 testuser:incorrect-password-02 testuser:incorrect-password-03 ...
As requisições podem ser reproduzidas usando o Burp Suite Intruder ou outra ferramenta de teste HTTP.
Etapa 4 — Observar o Comportamento do Servidor
Após múltiplas tentativas consecutivas de autenticação malsucedidas, o servidor continua aceitando requisições de autenticação sem aplicar um mecanismo eficaz de proteção contra força bruta.
Não se observa bloqueio temporário, atraso progressivo, limitação de taxa ou resposta HTTP 429 Too Many Requests.
Etapa 5 — Verificar a Autenticação Bem-Sucedida
Uma requisição subsequente usando as credenciais corretas é aceita normalmente.
Isso demonstra que falhas de autenticação repetidas não restringem suficientemente as tentativas subsequentes de adivinhação de senha por meio do mecanismo de autenticação WebDAV afetado.
Um breve vídeo de PoC demonstrando o teste completo está incluído nesta pesquisa.
Um atacante capaz de alcançar o endpoint de autenticação WebDAV afetado pode tentar senhas repetidamente contra contas de usuário sem encontrar proteções eficazes de força bruta no nível da aplicação.
A adivinhação bem-sucedida de senha pode resultar em acesso não autorizado à conta ownCloud visada e aos seus recursos associados, dependendo dos privilégios e permissões dessa conta.
A vulnerabilidade, portanto, aumenta a viabilidade de ataques online de adivinhação de senha contra contas expostas por meio do fluxo de autenticação afetado.
Um problema semelhante foi relatado anteriormente em um produto Nextcloud relacionado e recebeu a designação:
CVE-2023-32319
Referência:
HackerOne Report #1879549
Esta referência é fornecida para comparação do problema de proteção contra força bruta na autenticação e não implica que as duas vulnerabilidades sejam idênticas.
O fluxo de autenticação WebDAV deve ser integrado ao mecanismo existente de proteção contra força bruta da aplicação.
Os controles recomendados incluem:
Rastrear tentativas de autenticação malsucedidas para cada conta e/ou origem.
Aplicar atrasos progressivos após falhas de autenticação repetidas.
Aplicar um número máximo configurável de tentativas consecutivas malsucedidas.
Rejeitar temporariamente novas tentativas de autenticação após atingir o limite configurado.
Retorne HTTP 429 Too Many Requests quando a limitação de taxa for acionada.
Aplique a proteção de forma consistente em todos os mecanismos de autenticação, incluindo a Autenticação Básica HTTP usada pelo WebDAV.
Garanta que mecanismos ou endpoints de autenticação alternativos não possam ser usados para contornar a proteção existente contra força bruta da aplicação.
Uma política possível poderia restringir temporariamente a autenticação após um número configurável de falhas consecutivas, como 10 tentativas. O limite exato e o período de restrição devem ser determinados de acordo com os requisitos de segurança da aplicação.
ownCloud Server: https://github.com/owncloud/core
Vulnerabilidade relacionada: CVE-2023-32319
Relatório do HackerOne #1879549: https://hackerone.com/reports/1879549
Hoang126 em nome da equipe de segurança da ETC JSC
Pesquisa de segurança e divulgação responsável.
Esta pesquisa foi conduzida para fins de teste de segurança e divulgação responsável.
Os testes foram realizados em um ambiente controlado. Nenhum acesso não autorizado a contas ou dados de terceiros foi realizado.
