CVE-2021-25833

ONLYOFFICE DocumentServer — path traversal prowadzący do RCE

CVSS 9.8v3.1pub. 2021-03-01upd. 2024-11-21

W module serwera ONLYOFFICE DocumentServer wykryto podatność klasy path traversal (CWE-22), która umożliwia zdalnemu atakującemu nadpisanie dowolnych plików na serwerze. Skutkiem wykorzystania luki jest możliwość uzyskania pełnego zdalnego wykonania kodu (RCE) bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

A file extension handling issue was found in [server] module of ONLYOFFICE DocumentServer v4.2.0.71-v5.6.0.21. The file extension is controlled by an attacker through the request data and leads to arbitrary file overwriting. Using this vulnerability, a remote attacker can obtain remote code execution on DocumentServer.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji rozszerzenia pliku przekazywanego przez atakującego w danych żądania do modułu serwera. Kontrolując rozszerzenie pliku, atakujący może wskazać dowolną ścieżkę docelową i spowodować nadpisanie wybranych plików na serwerze. Poprzez strategiczne nadpisanie pliku wykonywalnego lub konfiguracyjnego możliwe jest osiągnięcie zdalnego wykonania kodu na instancji DocumentServer.

Skutki

Atakujący może nadpisać dowolne pliki na serwerze, co w konsekwencji prowadzi do pełnego przejęcia kontroli nad systemem poprzez zdalne wykonanie kodu (RCE). Atak nie wymaga uwierzytelnienia ani interakcji użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację ONLYOFFICE DocumentServer do wersji wyższej niż v5.6.0.21. Do czasu wdrożenia poprawki należy ograniczyć dostęp sieciowy do instancji DocumentServer wyłącznie do zaufanych adresów IP oraz rozważyć tymczasowe wyłączenie usługi.

Kogo dotyczy

ONLYOFFICE DocumentServer w wersjach od v4.2.0.71 do v5.6.0.21 (moduł server)

Uwagi

Podatność dotyczy konkretnie obsługi rozszerzeń plików w plikach converterservice.js oraz converter.js w module server, co zostało wskazane w referencjach do publicznego kodu źródłowego na GitHub.