Серверная версия офисного онлайн-пакета ONLYOFFICE Docs (DocumentServer) до 5.6.3 содержит уязвимость обхода пути. Она позволяет удалённому злоумышленнику выполнить произвольный код на узле, где развёрнут пакет. Ни учётная запись, ни действия пользователя для этого не нужны. Ошибка известна с января 2021 года и получила идентификатор CVE-2021-3199 и оценку 9,8 по CVSS 3.1. Готовый эксплойт лежит в открытом доступе, а Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло проблему в каталог известных эксплуатируемых уязвимостей.
Уязвимость обхода пути CVE-2021-3199 в ONLYOFFICE Docs
В Банке данных угроз безопасности информации (BDU) проблема описана под номером BDU:2026-16230 и отнесена к классу CWE-22, то есть к неверному ограничению имени пути к каталогу с ограниченным доступом. Сервер принимает от клиента имя файла и проверяет его недостаточно строго. Из-за этого путь выходит за границы разрешённого каталога. Злоумышленник подставляет собственный путь и записывает данные туда, где их быть не должно. От записи файла до исполнения кода в контексте серверного процесса остаётся один шаг. В описании способ эксплуатации сформулирован кратко - манипулирование ресурсами. Вектор атаки сетевой, сложность низкая, права и взаимодействие с интерфейсом не требуются.
ONLYOFFICE Docs компании, госструктуры и учебные заведения ставят на собственные серверы. Пакет закрывает совместную работу с текстами, таблицами и презентациями внутри контура. Такой узел обычно подключён к хранилищу документов, а нередко и к внутренней сети организации. Выполнение кода на нём открывает доступ к документам, позволяет менять их и развивать атаку вглубь инфраструктуры. Отдельная сложность в том, что успешная эксплуатация не оставляет следов в журналах входов: учётные данные для неё не нужны вовсе.
Оценка по CVSS 3.1 - 9,8, по устаревшей шкале CVSS 2.0 - 10. Уровень опасности в BDU обозначен как критический. Разработчик, компания Ascensio System SIA, подтвердил уязвимость. Эксплойты опубликованы на GitHub, платформе для хранения кода и совместной разработки, поэтому проверить защиту на практике может любой желающий. Каталог CISA не просто перечисляет известные ошибки: он обязывает федеральные агентства США устранять их в установленные сроки. Попадание в этот список означает, что уязвимость применяют в реальных атаках, а не только в исследовательских работах.
Исправление появилось в версии 5.6.3, о чём говорит журнал изменений DocumentServer. Администраторам стоит сверить, какие сборки работают в их сети, и обновить всё, что старше 5.6.3. Отдельно проверяют тестовые и временные развёртывания: их часто оставляют без присмотра надолго. Если обновление откладывается, сервер убирают из публичного доступа, ограничивают круг адресов, с которых к нему можно подключиться, и следят за обращениями по нестандартным путям. Версии 5.6.3 и новее проблему не содержат.
CVE-2021-3199 не свежая находка. Ошибку выявили в январе 2021 года, тогда же и закрыли, но она много лет остаётся в каталоге эксплуатируемых уязвимостей. Причина простая: обновления ставят не всегда, а сервер совместной работы редко проверяют так же внимательно, как почтовый шлюз или межсетевой экран. Обход пути с оценкой 9,8 опасен тем, что не требует ни пароля, ни клика. Хватает одной необновлённой сборки, чтобы злоумышленник получил контроль над узлом и всеми документами на нём.
Ссылки
- https://bdu.fstec.ru/vul/2026-16230
- https://www.cve.org/CVERecord?id=CVE-2021-3199
- https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
- https://github.com/moehw/poc_exploits/blob/master/CVE-2021-3199/poc_uploadImageFile.py
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-3199
- https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv
- https://github.com/moehw/poc_exploits/tree/master/CVE-2021-3199/poc_uploadImageFile.py
- https://github.com/nola-milkin/poc_exploits/blob/master/CVE-2021-3199/poc_uploadImageFile.py
