CVE-2023-30186

Use-after-free w ONLYOFFICE Document Server umożliwia zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2023-08-14upd. 2026-07-09

W ONLYOFFICE Document Server wykryto podatność typu use-after-free, która pozwala zdalnym atakującym na wykonanie dowolnego kodu bez uwierzytelnienia. Podatność jest krytyczna ze względu na brak wymagań wstępnych po stronie atakującego oraz pełny wpływ na poufność, integralność i dostępność systemu.

▸ Pokaż oryginał (EN)

A use after free issue discovered in ONLYOFFICE DocumentServer 4.0.3 through 7.3.2 allows remote attackers to run arbitrary code via crafted JavaScript file.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu zarządzania pamięcią (use-after-free, CWE-416) w silniku przetwarzania dokumentów, konkretnie w komponencie doctrenderer odpowiedzialnym za obsługę JavaScript. Atakujący może dostarczyć specjalnie spreparowany plik JavaScript, którego przetworzenie przez serwer prowadzi do odwołania się do już zwolnionego obszaru pamięci. Wykorzystanie tego błędu może umożliwić wykonanie kontrolowanego przez atakującego kodu w kontekście procesu serwera.

Skutki

Zdalny atakujący nieuwierzytelniony może wykonać dowolny kod na serwerze (RCE), co w konsekwencji prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Poprawka została wprowadzona w repozytorium ONLYOFFICE core (commit 2b6ad83b36afd9845085b536969d366d1d61150a). Zaleca się aktualizację do wersji nowszej niż 7.3.2 oraz ograniczenie dostępu sieciowego do instancji Document Server wyłącznie do zaufanych źródeł.

Kogo dotyczy

ONLYOFFICE Document Server w wersjach od 4.0.3 do 7.3.2

Uwagi

Szczegółowy opis techniczny podatności wraz z proof-of-concept został opublikowany na platformie GitHub Gist (gist.github.com/merrychap). Podatność dotyczy komponentu NativeControlEmbed.cpp w module DesktopEditor/doctrenderer.