ONLYOFFICE 10.0: نظرة أقرب على أحدث 40 إصلاحًا أمنيًا

الأمان جزء من كل إصدار من ONLYOFFICE. وعند الإبلاغ عن ثغرة أمنية، يعمل فريقنا على إصلاحها بسرعة لتبقى مستنداتكم ومستخدموكم وبنيتكم التحتية محمية.

يتضمن ONLYOFFICE 10.0 أكثر من 40 إصلاحًا أمنيًا للمحررات عبر الإنترنت وتطبيق الحاسوب على حد سواء. وتشمل هذه الإصلاحات تحويل المستندات، والتعامل مع ملفات PDF، وحدات الماكرو، والتكاملات، وإعدادات الخادم. وبالنسبة إلى المؤسسات التي تعتمد على ONLYOFFICE في الأعمال الحساسة، يضيف هذا الإصدار طبقة حماية أخرى.

وفيما يلي ما الذي تغيّر.

الإصلاح بالتفصيل: ثغرة XSS في الدالة AI()

يعالج أحد الإصلاحات في هذا الإصدار ثغرة XSS في حقل القيمة في الدالة AI(). وكان من الممكن أن يؤدي استغلالها إلى توقف المحرر عن العمل.

ما هو XSS؟ البرمجة النصية عبر المواقع (Cross-site scripting، أو XSS) هي هجوم يقوم فيه شخص بحقن نص برمجي ضار في محتوى يفتحه مستخدمون آخرون. وعند تشغيل هذا النص البرمجي، يمكنه تعطيل التطبيق، أو تغيير ما يراه المستخدم، أو محاولة الوصول إلى بيانات لا ينبغي له الوصول إليها.

لماذا يُعدّ هذا الإصلاح مهمًا:

• يُبقي المحرر متاحًا. لم يعد بإمكان قيمة مُعدّة خصيصًا أن تتسبب في تعطل المحرر، ولذلك يمكن لفرقكم مواصلة العمل.
• يحمي سير العمل المدعوم بالذكاء الاصطناعي. تتعامل ميزات الذكاء الاصطناعي الآن مع قدر أكبر من المحتوى الذي يعمل عليه الأشخاص كل يوم، ولذلك يجب أن تكون المدخلات التي تقبلها آمنة.
• يقلل المخاطر في المستندات المشتركة. في بيئات التعاون، يمكن لملف ضار واحد أن يصل إلى العديد من المستخدمين. وسدّ هذه الثغرة يحمي كل من يفتح المستند.

الإصلاحات الأمنية للمحررات عبر الإنترنت

يعالج ONLYOFFICE 10.0 الثغرات التالية في المحررات عبر الإنترنت:

• تم إصلاح ثغرة XSS في الارتباطات التشعبية في مستندات DOCX
• تم إصلاح تجاوز بيئة العزل الخاصة بوحدات الماكرو
• تم إصلاح الكتابة غير الصحيحة في الذاكرة عند تحويل XLS إلى XLSX
• تم إصلاح ثغرة XSS في حقل الاسم عند إنشاء مساعد ذكاء اصطناعي
• تم إصلاح تجاوز التفويض عند طباعة ملفات PDF
• تم إصلاح تعطل المحوّل عند معالجة سلاسل وراثة الأنماط الدائرية في DOCX
• تم إصلاح فيض المخزن المؤقت في المكدس عند قراءة بيانات OLE أثناء تحويل المستندات ذات الصيغ القديمة
• تم إصلاح فيض المخزن المؤقت في الكومة عند عرض أقنعة الصور في ملفات PDF
• تم إصلاح تجاوز بيئة العزل الخاصة بوحدات الماكرو مع إمكانية الوصول إلى ملفات تعريف الارتباط
• تم إصلاح الوصول إلى ملفات نظام التشغيل عبر الطريقة native.GetFileBinary في Document Builder API
• تم إصلاح إمكانية استخدام رمز المحرر للوصول إلى Document Builder
• تم إصلاح ثغرة SSRF في نقطة النهاية /ai-proxy
• تم إصلاح القراءة خارج الحدود عند تحويل DOC إلى DOCX
• تم إصلاح القراءة خارج الحدود عند معالجة ملفات Metafile في PPT، مما أدى إلى كشف محتويات الذاكرة في ملف PPTX الناتج
• تم إصلاح القراءة خارج الحدود عند تحليل تنسيق الأحرف في ملفات DOC
• تم إصلاح القراءة خارج الحدود عند تحليل جدول القطع في ملفات DOC
• تم إصلاح تنفيذ JavaScript المضمّن في مستندات PDF
• تم إصلاح ثغرة SSRF في نقاط نهاية WOPI
• تم إصلاح التحرير المزدوج للذاكرة عند تحويل بعض ملفات DOCX
• تم إصلاح القراءة خارج الحدود عند تحليل جدول الخطوط في ملفات DOC
• تم إصلاح الكتابة خارج الحدود في الكومة الناتجة عن فيض الأعداد الصحيحة أثناء تحويل المستندات
• تم إصلاح ثغرة XSS في نافذة وسيطات الدالة في محرر جداول البيانات
• تم إصلاح تنفيذ JavaScript ضار مُضاف إلى إجراءات ملفات PDF
• تم إصلاح ثغرة اجتياز المسار عند معالجة ملفات HML
• تم إصلاح كتابة ملفات عشوائية عند استخراج الأرشيفات أثناء التحويل
• تم إصلاح قراءة الملفات المحلية أثناء تحويل EPUB
• تم إصلاح إمكانية إنشاء الملف runtime.json عبر طلب إلى Document Builder
• تم إصلاح ثغرة XSS في محرر المستندات عبر اسم خط أو نمط في لوحة المراجعة
• تم إصلاح ثغرة XSS المنعكسة في الصفحة /baseurl
• تم إصلاح إصدار رمز لطلب تحويل وتحرير مجهول عبر WOPI قُبل في Document Builder API
• تم إصلاح القراءة خارج الحدود عند تحويل XLS إلى XLSX
• تم إصلاح إمكانية تحديد مسار عشوائي في نظام الملفات في إعدادات السجلات عبر runtime.json
• تم إصلاح اختطاف جلسة التحرير المشترك عند العمل عبر WOPI
• تم إصلاح ثغرة اجتياز المسار في معالج القوالب لإنشاء ملفات جديدة عبر WOPI، مما أدى إلى كشف إعدادات الخادم
• تم إصلاح الثغرات في صورة Docker الخاصة بـ DocumentServer
• تم إصلاح فيض المخزن المؤقت في المكدس عند معالجة الخطوط في ملفات XPS
• تم إصلاح ثغرة XSS في إضافة HTML عند اللصق في مستند
• تم إصلاح مصادقة المستأجرين الذين لم يُعيَّن لهم مفتاح سري في وضع تعدد المستأجرين
• تم إصلاح القراءة خارج الحدود عند معالجة الصور النقطية بصيغة EMF+، مما أدى إلى كشف محتويات الذاكرة
• تم إصلاح القراءة خارج الحدود عند معالجة الارتباطات التشعبية في XLS، مما أدى إلى كشف محتويات الذاكرة
• تم إصلاح القراءة خارج الحدود عند عرض WMF، مما أدى إلى كشف محتويات الذاكرة في المستند الناتج
• تم إصلاح تصعيد الامتيازات عبر السكربت documentserver-flush-cache
• تم إصلاح الثغرتين CVE-2022-3602 وCVE-2022-3786 في OpenSSL في صورة Docker
• تم إصلاح الثغرة CVE-2022-23308 أثناء تحويل المستندات

اطلعوا على القائمة الكاملة للإصلاحات الأمنية الخاصة بمحررات الحاسوب هنا.

ابقوا محميين: حدّثوا إلى ONLYOFFICE 10.0

أبسط طريقة للاستفادة من جميع هذه الإصلاحات هي إبقاء تثبيتكم محدّثًا:

1. تحققوا من إصدار تثبيتكم الحالي. وهذا أمر بالغ الأهمية خاصةً لعمليات النشر المستضافة ذاتيًا والمحلية.
2. راجعوا سجل التغييرات. وتأكدوا من الإصلاحات التي تنطبق على إعدادكم، مثل Docker أو تكاملات WOPI أو وضع تعدد المستأجرين.
3. قوموا بالترقية إلى الإصدار 10.0. استخدموا حزم التثبيت من موقع ONLYOFFICE الرسمي أو زوروا مركز المساعدة.
4. حدّثوا تطبيقات الحاسوب في جميع أنحاء مؤسستكم. وهذا يُبقي كل نقطة طرفية محمية بالقدر نفسه.

الأسئلة الشائعة

هل تنطبق هذه الإصلاحات على المحررات عبر الإنترنت ومحررات الحاسوب على حد سواء؟

تنطبق معظم الإصلاحات على كليهما. وهناك عدد قليل خاص بأحدهما دون الآخر، فعلى سبيل المثال، بعض الإصلاحات المتعلقة بـ WOPI وJWT تنطبق على المحررات عبر الإنترنت فقط، بينما تؤثر بعض المشكلات الخاصة بـ CEF على تطبيقات الحاسوب فقط.

هل أحتاج إلى التحديث إذا كنت أستخدم ONLYOFFICE محليًا؟

نعم. لا يتم تحديث عمليات التثبيت المحلية والمستضافة ذاتيًا تلقائيًا. ونوصي بشدة بإجراء التحديث في أقرب وقت ممكن للاستفادة من جميع الإصلاحات الأمنية في الإصدار 10.0.

ما المقصود بتجاوز بيئة العزل الخاصة بوحدات الماكرو، ولماذا هو مهم؟

يشغّل ONLYOFFICE وحدات الماكرو في بيئة معزولة (“sandbox”) لمنعها من الوصول إلى ما لا ينبغي لها الوصول إليه. ويعني تجاوز بيئة العزل أن وحدة ماكرو يمكنها الإفلات من هذا القيد. ويغلق هذا الإصدار ثغرتين من هذا النوع، من بينهما ثغرة كانت تتيح الوصول إلى ملفات تعريف الارتباط في المتصفح. وتحمي هذه الإصلاحات المستخدمين الذين يشغّلون وحدات الماكرو في مستندات مشتركة أو حساسة.

هل أصبح فتح ملفات PDF أكثر أمانًا في ONLYOFFICE 10.0؟

نعم. فقد تم إصلاح عدة ثغرات متعلقة بملفات PDF، من بينها تنفيذ JavaScript المضمّن، وJavaScript الضار في إجراءات الملفات، وتجاوز التفويض عند الطباعة، والحذف العشوائي للملفات من مستندات PDF. وتُعد ملفات PDF وسيلة شائعة لنقل المحتوى الضار، ولذلك فإن هذه الإصلاحات مهمة بشكل خاص للمؤسسات التي تعالج مستندات من مصادر خارجية.

كيف يتعامل ONLYOFFICE مع تقارير الثغرات الأمنية؟

نأخذ كل تقرير على محمل الجد. وعند اكتشاف ثغرة – سواء من خلال الاختبار الداخلي أو تقارير المجتمع أو الباحثين الأمنيين – يعمل فريقنا بسرعة على تطوير إصلاح وإصداره. كما نوفر سجل تغييرات عامًا ليتمكن المستخدمون من معرفة ما تمت معالجته بالضبط في كل إصدار.

أين يمكنني الإبلاغ عن ثغرة أمنية؟

إذا اكتشفتم مشكلة أمنية في ONLYOFFICE، يرجى الإبلاغ عنها بمسؤولية عبر جهة الاتصال الأمنية الرسمية لدينا security@onlyoffice.com. كما يسعدنا أن تزوروا صفحة الأمان – اتصلوا بنا. نراجع جميع التقارير وسنعمل معكم على معالجة المشكلة في أسرع وقت ممكن.

هل تم إصلاح الثغرة التي نُشر عنها مؤخرًا في الصحافة (CVE-2021-3199) في ONLYOFFICE؟

نعم. الثغرة المذكورة في التقارير الإعلامية الأخيرة (CVE-2021-3199) تم إصلاحها في الإصدار 5.6.3 من محررات ONLYOFFICE، ولذلك فهي لا تؤثر على الإصدارات الحالية. ونوصي بشدة كل من لا يزال يستخدم إصدارًا أقدم بالتحديث إلى ONLYOFFICE 10.0، الذي يتضمن أيضًا جميع الإصلاحات الأمنية المذكورة أعلاه.

ملاحظة: ربما تلاحظون أن إعلان الإصدار ذكر إصلاح نحو 35 ثغرة، بينما ذكرت مقالتنا الأمنية المخصصة أكثر من 40. كلا الرقمين كان دقيقًا وقت النشر؛ فقد تم الانتهاء من إصلاحات إضافية وإضافتها إلى سجل التغييرات بين المنشورين، كما أن المقالة الأمنية تغطي محررات الحاسوب إلى جانب المحررات عبر الإنترنت. ويعكس المنشور الحالي الصورة الكاملة.