ONLYOFFICE 10.0: Ein genauerer Blick auf die neuesten 40 Sicherheitskorrekturen

Sicherheit ist Teil jeder ONLYOFFICE-Version. Wenn eine Schwachstelle gemeldet wird, arbeitet unser Team schnell an einer Behebung, damit Ihre Dokumente, Ihre Benutzer und Ihre Infrastruktur geschützt bleiben.

ONLYOFFICE 10.0 enthält mehr als 40 Sicherheitsupdates sowohl für die Online-Editoren als auch für die Desktopanwendung. Diese betreffen die Dokumenten-Konvertierung, PDF-Verarbeitung, Makros, Integrationen und Serverkonfiguration. Für Organisationen, die auf ONLYOFFICE für sensible Arbeiten angewiesen sind, bietet dieses Update eine zusätzliche Schutzschicht.

Hier ist, was sich geändert hat.

Detailierte Analyse: XSS-Schwachstelle in der AI()-Funktion

Eines der Updates in dieser Version behebt eine XSS-Schwachstelle im Wertefeld der AI()-Funktion. Das Ausnutzen dieser Schwachstelle könnte dazu führen, dass der Editor nicht mehr funktioniert.

Was ist XSS? Cross-Site Scripting (XSS) ist ein Angriff, bei dem jemand ein bösartiges Skript in Inhalte injiziert, die dann von anderen Benutzern geöffnet werden. Wenn das Skript ausgeführt wird, kann es die Anwendung stören, verändern, was der Benutzer sieht, oder versuchen, auf Daten zuzugreifen, auf die es niemals zugreifen sollte.

Warum ist dieses Update wichtig:

• Es hält den Editor verfügbar. Ein manipuliertes Wert kann den Editor nicht mehr zum Absturz bringen, sodass Ihre Teams weiterarbeiten können.
• Es schützt KI-gesteuerte Workflows. KI-Funktionen verarbeiten jetzt mehr Inhalte, mit denen die Menschen täglich arbeiten, sodass die akzeptierten Eingaben sicher sein müssen.
• Es reduziert das Risiko in gemeinsam genutzten Dokumenten. In kollaborativen Umgebungen kann eine bösartige Datei viele Benutzer erreichen. Diese Lücke zu schließen schützt jeden, der das Dokument öffnet.

Sicherheitsupdates für die Online-Editoren

ONLYOFFICE 10.0 behebt die folgenden Schwachstellen in den Online-Editoren:

• Behebung der XSS-Schwachstelle in Hyperlinks in DOCX-Dokumenten
• Behebung des Umgehens der Makrosandbox
• Behebung eines falschen Speicherzugriffs bei der Konvertierung von XLS zu XLSX
• Behebung der XSS-Schwachstelle im Namensfeld beim Erstellen eines KI-Assistenten
• Behebung der Umgehung der Autorisierung beim Drucken von PDF
• Behebung des Absturzes des Konverters bei der Verarbeitung von zirkulären Stilvererbungsketten in DOCX
• Behebung des Pufferüberlaufs beim Lesen von OLE-Daten während der Konvertierung von Dokumenten im alten Format
• Behebung des Heap-Pufferüberlaufs beim Rendern von Bildmasken in PDF
• Behebung des Umgehens der Makrosandbox mit Zugriff auf Cookies
• Behebung des Zugriffs auf OS-Dateien über die native.GetFileBinary-Methode der Document Builder API
• Behebung der Möglichkeit, ein Editor-Token zum Zugriff auf Document Builder zu verwenden
• Behebung der SSRF-Schwachstelle im /ai-proxy-Endpunkt
• Behebung des Überlesens von Grenzen bei der Konvertierung von DOC zu DOCX
• Behebung des Überlesens von Grenzen bei der Verarbeitung von PPT-Metadaten, was zu einer Offenlegung von Speicher im resultierenden PPTX führte
• Behebung des Überlesens von Grenzen bei der Analyse von Zeichenformatierungen in DOC-Dateien
• Behebung des Überlesens von Grenzen bei der Analyse der Stücktabelle in DOC-Dateien
• Behebung der Ausführung von eingebettetem JavaScript in PDF-Dokumenten
• Behebung der SSRF-Schwachstelle in WOPI-Endpunkten
• Behebung des doppelten Freigebens bei der Konvertierung bestimmter DOCX-Dateien
• Behebung des Überlesens von Grenzen beim Analysieren der Schriftarttabelle in DOC-Dateien
• Behebung des Heap-Uberlaufes durch Überlauf beim Umwandeln von Dokumenten
• Behebung der XSS-Schwachstelle im Funktionsargumente-Fenster im Tabellenkalkulationseditor
• Behebung der Ausführung von bösartigem JavaScript, das zu PDF-Datei-Aktionen hinzugefügt wurde
• Behebung der Pfadüberlauf-Schwachstelle bei der Verarbeitung von HML-Dateien
• Behebung des beliebigen Datei-Schreibens beim Extrahieren von Archiven während der Konvertierung
• Behebung des lokalen Datei-Lesens während der EPUB-Konvertierung
• Behebung der Möglichkeit, die runtime.json-Datei über eine Document Builder-Anfrage zu erstellen
• Behebung der XSS-Schwachstelle im Dokumenteneditor über einen Schrift- oder Stilnamen im Überprüfungsfeld
• Behebung der reflektierenden XSS-Schwachstelle auf der /baseurl-Seite
• Behebung der Ausstellung eines Tokens für eine anonyme WOPI konvertieren-und-bearbeiten-Anfrage, die von der Document Builder API akzeptiert wurde
• Behebung des Überlesens von Grenzen bei der Konvertierung von XLS zu XLSX
• Behebung der Möglichkeit, einen beliebigen Dateisystempfad in den Protokollierungs-Einstellungen über runtime.json anzugeben
• Behebung der Kompromittierung von Co-Editing-Sitzungen während der Arbeit über WOPI
• Behebung der Pfadüberlauf-Schwachstelle im Template-Handler zur Erstellung neuer Dateien über WOPI, was zu einer Offenlegung von Serverkonfigurationen führte
• Behebung von Schwachstellen im DocumentServer Docker-Image
• Behebung des Stack-Pufferüberlaufs bei der Verarbeitung von Schriftarten in XPS-Dateien
• Behebung der XSS-Schwachstelle im HTML-Plugin beim Einfügen in ein Dokument
• Behebung der Authentifizierung von Mandanten ohne konfiguriertes Geheimnis im Mehrmandanten-Modus
• Behebung des Überlesens von Grenzen bei der Verarbeitung von EMF+ Bitmap-Bildern, was zu einer Offenlegung von Speicher führte
• Behebung des Überlesens von Grenzen bei der Verarbeitung von Hyperlinks in XLS, was zu einer Offenlegung von Speicher führte
• Behebung des Überlesens von Grenzen beim Rendern von WMF, was zu einer Offenlegung von Speicher im resultierenden Dokument führte
• Behebung der Privilegieneskalation über das documentserver-flush-cache-Skript
• Behebung der Schwachstellen CVE-2022-3602 und CVE-2022-3786 in OpenSSL im Docker-Image
• Behebung der CVE-2022-23308-Schwachstelle während der Dokumentenkonvertierung

Sehen Sie sich die vollständige Liste der Sicherheitsupdates für die Desktop-Editoren hier an.

Schützen Sie sich: Aktualisieren Sie auf ONLYOFFICE 10.0

Der einfachste Weg, um von all diesen Updates zu profitieren, besteht darin, Ihre Installation auf dem neuesten Stand zu halten:

1. Überprüfen Sie Ihre aktuelle Version. Dies ist besonders wichtig für selbstgehostete und lokale Installationen.
2. Überprüfen Sie das Änderungsprotokoll. Bestätigen Sie, welche Updates für Ihr Setup zutreffen, wie Docker, WOPI-Integrationen oder Mehrmandanten-Modus.
3. Aktualisieren Sie auf Version 10.0.  Verwenden Sie die Installationspakete von der offiziellen ONLYOFFICE-Website oder besuchen Sie das Hilfe-Center.
4. Aktualisieren Sie Desktop-Anwendungen in Ihrer gesamten Organisation. Dies gewährleistet, dass jeder Endpunkt gleichwertig geschützt ist.

Häufig gestellte Fragen

Gilt dieses Update für sowohl die Online- als auch die Desktop-Editoren?

Die meisten Updates gelten für beide. Eine kleine Anzahl ist spezifisch für das eine oder das andere, beispielsweise gelten einige WOPI- und JWT-bezogene Updates nur für die Online-Editoren, während bestimmte CEF-spezifische Probleme nur die Desktopanwendungen betreffen.

Muss ich aktualisieren, wenn ich ONLYOFFICE lokal betreibe?

Ja. Lokale und selbstgehostete Installationen werden nicht automatisch aktualisiert. Wir empfehlen dringend, dies so schnell wie möglich zu tun, um von all den Sicherheitsupdates in Version 10.0 zu profitieren.

Was ist ein Umgehen der Makrosandbox, und warum ist das wichtig?

ONLYOFFICE führt Makros in einer isolierten Umgebung (einer „Sandbox“) aus, um zu verhindern, dass sie auf Dinge zugreifen, auf die sie nicht zugreifen sollten. Ein Umgehen der Sandbox bedeutet, dass ein Makro diese Einschränkung überwinden könnte. Dieses Update schließt zwei solcher Umgehungen, einschließlich einer, die den Zugriff auf Browser-Cookies ermöglichte. Diese Updates schützen Benutzer, die Makros in gemeinsamen oder sensiblen Dokumenten ausführen.

Sind PDF-Dateien jetzt sicherer in ONLYOFFICE 10.0 zu öffnen?

Ja. Mehrere PDF-bezogene Schwachstellen wurden behoben, einschließlich der Ausführung von eingebettetem JavaScript, bösartigem JavaScript in Datei-Aktionen, Autorisierung umgehung beim Drucken und beliebigen Datei-Löschens aus PDF-Dokumenten. PDFs sind ein häufiger Vektor für bösartige Inhalte, daher sind diese Updates besonders wichtig für Organisationen, die Dokumente von externen Quellen verarbeiten.

Wie geht ONLYOFFICE mit Sicherheitsberichten um?

Wir nehmen jede Meldung ernst. Wenn eine Sicherheitsanfälligkeit identifiziert wird – sei es durch interne Tests, Gemeinschaftsberichte oder Sicherheitsforscher – arbeitet unser Team schnell daran, eine Behebung zu entwickeln und freizugeben. Wir führen auch ein öffentliches Änderungsprotokoll, sodass Benutzer genau sehen können, was in jeder Version behoben wurde.

Wo kann ich eine Sicherheitsanfälligkeit melden?

Wenn Sie ein Sicherheitsproblem in ONLYOFFICE entdecken, melden Sie es bitte verantwortungsbewusst über unseren offiziellen Sicherheitskontakt security@onlyoffice.com. Sie sind auch herzlich eingeladen, unsere Sicherheitsseite – Kontaktieren Sie uns zu besuchen. Wir überprüfen alle Berichte und arbeiten mit Ihnen zusammen, um das Problem so schnell wie möglich zu beheben.

Wurde die kürzlich in der Presse gemeldete Sicherheitsanfälligkeit (CVE-2021-3199) in ONLYOFFICE behoben?

Ja. Die in den letzten Medienberichten erwähnte Schwachstelle (CVE-2021-3199) wurde in Version 5.6.3 der ONLYOFFICE-Editoren behoben, sodass sie die aktuellen Versionen nicht betrifft. Wir empfehlen dringend, dass jeder, der noch eine ältere Version verwendet, auf ONLYOFFICE 10.0 aktualisiert, das auch alle oben genannten Sicherheitsupdates enthält.