CVE-2022-29777

Heap overflow w ONLYOFFICE Document Server i Core — RCE

CVSS 9.8v3.1pub. 2022-06-02upd. 2024-11-21

W ONLYOFFICE Document Server w wersji 6.0.0 i wcześniejszych oraz Core 6.1.0.26 i wcześniejszych wykryto krytyczny błąd przepełnienia sterty (heap overflow) w module obsługi czcionek. Podatność umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Onlyoffice Document Server v6.0.0 and below and Core 6.1.0.26 and below were discovered to contain a heap overflow via the component DesktopEditor/fontengine/fontconverter/FontFileBase.h.

🤖 Analiza AI

Jak działa

Błąd znajduje się w komponencie FontFileBase.h odpowiedzialnym za konwersję i przetwarzanie plików czcionek (DesktopEditor/fontengine/fontconverter/FontFileBase.h). Nieprawidłowa operacja zapisu poza przydzielony bufor na stercie (heap overflow, CWE-787) może zostać wywołana przez spreparowany plik czcionki lub dokument osadzający złośliwą czcionkę. Atakujący przesyłający taki plik do serwera może doprowadzić do uszkodzenia pamięci i przejęcia kontroli nad przepływem wykonania procesu.

Skutki

Atakujący może uzyskać pełną kontrolę nad procesem serwera, co w praktyce oznacza możliwość wykonania dowolnego kodu (RCE) na maszynie hostującej usługę, a w konsekwencji naruszenie poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować ONLYOFFICE Document Server do wersji 6.0.1 lub nowszej (zgodnie z CHANGELOG) oraz Core do wersji wyższej niż 6.1.0.26, stosując łatkę dostępną w repozytorium producenta (commit b17d5e860f30e8be2caeb0022b63be4c76660178). Publiczny kod PoC exploit jest dostępny, co znacząco podnosi ryzyko — aktualizacja powinna być przeprowadzona niezwłocznie.

Kogo dotyczy

ONLYOFFICE Document Server w wersji 6.0.0 i wcześniejszych; ONLYOFFICE Core w wersji 6.1.0.26 i wcześniejszych.

Uwagi

W referencjach wskazano publicznie dostępny kod PoC exploit (https://github.com/moehw/poc_exploits/tree/master/CVE-2022-29777), co istotnie zwiększa prawdopodobieństwo aktywnego wykorzystania podatności mimo braku wpisu w CISA KEV.