ONLYOFFICE 10.0: Μια πιο προσεκτική ματιά στις τελευταίες 40 επιδιορθώσεις ασφαλείας

Η ασφάλεια αποτελεί μέρος κάθε έκδοσης του ONLYOFFICE. Όταν αναφέρεται μια ευπάθεια, η ομάδα μας εργάζεται για να τη διορθώσει γρήγορα, ώστε τα έγγραφά σας, οι χρήστες σας και η υποδομή σας να παραμένουν προστατευμένα.

Το ONLYOFFICE 10.0 περιλαμβάνει περισσότερες από 40 διορθώσεις ασφαλείας τόσο για τους online επεξεργαστές όσο και για την εφαρμογή desktop. Καλύπτουν τη μετατροπή εγγράφων, τον χειρισμό PDF, τις μακροεντολές, τις ενσωματώσεις και τη διαμόρφωση του διακομιστή. Για οργανισμούς που βασίζονται στο ONLYOFFICE για ευαίσθητη εργασία, αυτή η έκδοση προσθέτει ένα ακόμη επίπεδο προστασίας.

Να τι άλλαξε.

Αναλυτικά η διόρθωση: Ευπάθεια XSS στη συνάρτηση AI()

Μία από τις διορθώσεις σε αυτή την έκδοση αφορά μια ευπάθεια XSS στο πεδίο Value της συνάρτησης AI(). Η εκμετάλλευσή της θα μπορούσε να προκαλέσει τη διακοπή λειτουργίας του επεξεργαστή.

Τι είναι το XSS; Το cross-site scripting (XSS) είναι μια επίθεση όπου κάποιος εισάγει κακόβουλο script σε περιεχόμενο που ανοίγουν στη συνέχεια άλλοι χρήστες. Όταν εκτελεστεί το script, μπορεί να διαταράξει την εφαρμογή, να αλλάξει αυτό που βλέπει ο χρήστης ή να προσπαθήσει να αποκτήσει πρόσβαση σε δεδομένα στα οποία δεν θα έπρεπε ποτέ να έχει πρόσβαση.

Γιατί αυτή η διόρθωση έχει σημασία:

• Διατηρεί τον επεξεργαστή διαθέσιμο. Μια ειδικά διαμορφωμένη τιμή δεν μπορεί πλέον να προκαλέσει κατάρρευση του επεξεργαστή, ώστε οι ομάδες σας να συνεχίζουν να εργάζονται.
• Προστατεύει τις ροές εργασίας που βασίζονται στην τεχνητή νοημοσύνη. Οι λειτουργίες AI διαχειρίζονται πλέον περισσότερο από το περιεχόμενο με το οποίο εργάζονται οι άνθρωποι καθημερινά, επομένως τα δεδομένα εισόδου που δέχονται πρέπει να είναι ασφαλή.
• Μειώνει τον κίνδυνο σε κοινόχρηστα έγγραφα. Σε περιβάλλοντα συνεργασίας, ένα κακόβουλο αρχείο μπορεί να φτάσει σε πολλούς χρήστες. Κλείνοντας αυτό το κενό, προστατεύεται κάθε άτομο που ανοίγει το έγγραφο.

Διορθώσεις ασφαλείας για τους online επεξεργαστές

Το ONLYOFFICE 10.0 επιλύει τις ακόλουθες ευπάθειες στους online επεξεργαστές:

• Διορθώθηκε ευπάθεια XSS σε υπερσυνδέσμους σε έγγραφα DOCX
• Διορθώθηκε παράκαμψη του sandbox των μακροεντολών
• Διορθώθηκε εσφαλμένη εγγραφή μνήμης κατά τη μετατροπή XLS σε XLSX
• Διορθώθηκε ευπάθεια XSS στο πεδίο Name κατά τη δημιουργία βοηθού AI
• Διορθώθηκε παράκαμψη εξουσιοδότησης κατά την εκτύπωση PDF
• Διορθώθηκε κατάρρευση του μετατροπέα κατά την επεξεργασία κυκλικών αλυσίδων κληρονομικότητας στυλ σε DOCX
• Διορθώθηκε υπερχείλιση buffer στοίβας κατά την ανάγνωση δεδομένων OLE κατά τη μετατροπή εγγράφων παλαιού τύπου
• Διορθώθηκε υπερχείλιση buffer σωρού κατά την απόδοση μασκών εικόνας σε PDF
• Διορθώθηκε παράκαμψη του sandbox των μακροεντολών με πρόσβαση σε cookies
• Διορθώθηκε η πρόσβαση σε αρχεία του λειτουργικού συστήματος μέσω της μεθόδου native.GetFileBinary του Document Builder API
• Διορθώθηκε η δυνατότητα χρήσης ενός token επεξεργαστή για πρόσβαση στο Document Builder
• Διορθώθηκε ευπάθεια SSRF στο endpoint /ai-proxy
• Διορθώθηκε ανάγνωση εκτός ορίων κατά τη μετατροπή DOC σε DOCX
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την επεξεργασία μετααρχείων PPT, που οδηγούσε σε αποκάλυψη μνήμης στο τελικό PPTX
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την ανάλυση μορφοποίησης χαρακτήρων σε αρχεία DOC
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την ανάλυση του πίνακα τμημάτων (piece table) σε αρχεία DOC
• Διορθώθηκε η εκτέλεση ενσωματωμένης JavaScript σε έγγραφα PDF
• Διορθώθηκε ευπάθεια SSRF σε endpoints WOPI
• Διορθώθηκε double free κατά τη μετατροπή ορισμένων αρχείων DOCX
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την ανάλυση του πίνακα γραμματοσειρών σε αρχεία DOC
• Διορθώθηκε εγγραφή εκτός ορίων στον σωρό που προκλήθηκε από υπερχείλιση ακεραίου κατά τη μετατροπή εγγράφων
• Διορθώθηκε ευπάθεια XSS στο παράθυρο ορισμάτων συνάρτησης στον Επεξεργαστή Υπολογιστικών Φύλλων
• Διορθώθηκε η εκτέλεση κακόβουλης JavaScript που προστέθηκε σε ενέργειες αρχείου PDF
• Διορθώθηκε ευπάθεια path traversal κατά την επεξεργασία αρχείων HML
• Διορθώθηκε αυθαίρετη εγγραφή αρχείου κατά την εξαγωγή αρχείων από αρχεία κατά τη μετατροπή
• Διορθώθηκε τοπική ανάγνωση αρχείου κατά τη μετατροπή EPUB
• Διορθώθηκε η δυνατότητα δημιουργίας του αρχείου runtime.json μέσω αιτήματος Document Builder
• Διορθώθηκε ευπάθεια XSS στον Επεξεργαστή Εγγράφων μέσω ονόματος γραμματοσειράς ή στυλ στο πλαίσιο Review
• Διορθώθηκε ανακλώμενη ευπάθεια XSS στη σελίδα /baseurl
• Διορθώθηκε η έκδοση token για ανώνυμη αίτηση WOPI convert-and-edit που γινόταν αποδεκτή από το Document Builder API
• Διορθώθηκε ανάγνωση εκτός ορίων κατά τη μετατροπή XLS σε XLSX
• Διορθώθηκε η δυνατότητα καθορισμού αυθαίρετης διαδρομής συστήματος αρχείων στις ρυθμίσεις καταγραφής μέσω runtime.json
• Διορθώθηκε η αρπαγή συνεδρίας συν-επεξεργασίας κατά την εργασία μέσω WOPI
• Διορθώθηκε ευπάθεια path traversal στον χειριστή προτύπων για τη δημιουργία νέων αρχείων μέσω WOPI, που οδηγούσε σε αποκάλυψη της διαμόρφωσης του διακομιστή
• Διορθώθηκαν ευπάθειες στην εικόνα Docker του DocumentServer
• Διορθώθηκε υπερχείλιση buffer στοίβας κατά την επεξεργασία γραμματοσειρών σε αρχεία XPS
• Διορθώθηκε ευπάθεια XSS στο πρόσθετο HTML κατά την επικόλληση σε έγγραφο
• Διορθώθηκε η αυθεντικοποίηση tenants χωρίς διαμορφωμένο secret σε λειτουργία multitenant
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την επεξεργασία bitmap EMF+, που οδηγούσε σε αποκάλυψη μνήμης
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την επεξεργασία υπερσυνδέσμων σε XLS, που οδηγούσε σε αποκάλυψη μνήμης
• Διορθώθηκε ανάγνωση εκτός ορίων κατά την απόδοση WMF, που οδηγούσε σε αποκάλυψη μνήμης στο τελικό έγγραφο
• Διορθώθηκε κλιμάκωση προνομίων μέσω του script documentserver-flush-cache
• Διορθώθηκαν οι ευπάθειες CVE-2022-3602 και CVE-2022-3786 στο OpenSSL στην εικόνα Docker
• Διορθώθηκε η ευπάθεια CVE-2022-23308 κατά τη μετατροπή εγγράφων

Δείτε την πλήρη λίστα διορθώσεων ασφαλείας για τους επεξεργαστές desktop εδώ.

Μείνετε προστατευμένοι: ενημερώστε σε ONLYOFFICE 10.0

Ο απλούστερος τρόπος για να επωφεληθείτε από όλες αυτές τις διορθώσεις είναι να διατηρείτε την εγκατάστασή σας ενημερωμένη:

1. Ελέγξτε την τρέχουσα έκδοσή σας. Αυτό έχει τη μεγαλύτερη σημασία για self-hosted και on-premises εγκαταστάσεις.
2. Ελέγξτε το changelog. Επιβεβαιώστε ποιες διορθώσεις ισχύουν για τη δική σας εγκατάσταση, όπως Docker, ενσωματώσεις WOPI ή λειτουργία multitenant.
3. Αναβαθμίστε στην έκδοση 10.0. Χρησιμοποιήστε τα πακέτα εγκατάστασης από την επίσημη ιστοσελίδα του ONLYOFFICE ή επισκεφτείτε το Κέντρο Βοήθειας.
4. Ενημερώστε τις εφαρμογές desktop σε όλο τον οργανισμό σας. Αυτό διατηρεί κάθε endpoint εξίσου προστατευμένο.

Συχνές ερωτήσεις

Ισχύουν αυτές οι διορθώσεις τόσο για τους online όσο και για τους επεξεργαστές desktop;

Οι περισσότερες διορθώσεις ισχύουν και για τους δύο. Ένας μικρός αριθμός είναι ειδικός για τον έναν ή τον άλλον, για παράδειγμα, ορισμένες διορθώσεις που σχετίζονται με WOPI και JWT ισχύουν μόνο για τους online επεξεργαστές, ενώ ορισμένα ζητήματα ειδικά για CEF επηρεάζουν μόνο τις εφαρμογές desktop.

Πρέπει να ενημερώσω αν χρησιμοποιώ ONLYOFFICE on-premises;

Ναι. Οι on-premises και self-hosted εγκαταστάσεις δεν ενημερώνονται αυτόματα. Συνιστούμε ανεπιφύλακτα να το κάνετε το συντομότερο δυνατό για να επωφεληθείτε από όλες τις διορθώσεις ασφαλείας της έκδοσης 10.0.

Τι είναι η παράκαμψη του sandbox των μακροεντολών και γιατί έχει σημασία;

Το ONLYOFFICE εκτελεί μακροεντολές σε απομονωμένο περιβάλλον (ένα «sandbox») για να τις εμποδίζει να αποκτούν πρόσβαση σε πράγματα που δεν θα έπρεπε. Μια παράκαμψη sandbox σημαίνει ότι μια μακροεντολή θα μπορούσε να ξεφύγει από αυτόν τον περιορισμό. Αυτή η έκδοση κλείνει δύο τέτοιες παρακάμψεις, συμπεριλαμβανομένης μιας που επέτρεπε πρόσβαση σε cookies του browser. Αυτές οι διορθώσεις προστατεύουν τους χρήστες που εκτελούν μακροεντολές σε κοινόχρηστα ή ευαίσθητα έγγραφα.

Είναι πλέον ασφαλέστερο το άνοιγμα αρχείων PDF στο ONLYOFFICE 10.0;

Ναι. Διορθώθηκαν αρκετές ευπάθειες που σχετίζονται με PDF, συμπεριλαμβανομένης της εκτέλεσης ενσωματωμένης JavaScript, κακόβουλης JavaScript σε ενέργειες αρχείου, παράκαμψης εξουσιοδότησης κατά την εκτύπωση και αυθαίρετης διαγραφής αρχείων από έγγραφα PDF. Τα PDF είναι ένα κοινό μέσο για κακόβουλο περιεχόμενο, επομένως αυτές οι διορθώσεις είναι ιδιαίτερα σημαντικές για οργανισμούς που επεξεργάζονται έγγραφα από εξωτερικές πηγές.

Πώς χειρίζεται το ONLYOFFICE τις αναφορές ευπαθειών;

Λαμβάνουμε κάθε αναφορά σοβαρά υπόψη. Όταν εντοπιστεί μια ευπάθεια – είτε μέσω εσωτερικών δοκιμών, είτε μέσω αναφορών της κοινότητας, είτε μέσω ερευνητών ασφαλείας – η ομάδα μας εργάζεται γρήγορα για να αναπτύξει και να κυκλοφορήσει μια διόρθωση. Διατηρούμε επίσης ένα δημόσιο changelog, ώστε οι χρήστες να βλέπουν ακριβώς τι αντιμετωπίστηκε σε κάθε έκδοση.

Πού μπορώ να αναφέρω μια ευπάθεια ασφαλείας;

Αν ανακαλύψετε ένα ζήτημα ασφαλείας στο ONLYOFFICE, αναφέρετέ το υπεύθυνα μέσω της επίσημης επαφής ασφαλείας μας security@onlyoffice.com. Μπορείτε επίσης να επισκεφτείτε τη σελίδα μας Security – Επικοινωνήστε μαζί μας. Εξετάζουμε όλες τις αναφορές και θα συνεργαστούμε μαζί σας για να αντιμετωπίσουμε το ζήτημα όσο το δυνατόν συντομότερα.

Έχει διορθωθεί στο ONLYOFFICE η ευπάθεια που αναφέρθηκε πρόσφατα στον Τύπο (CVE-2021-3199);

Ναι. Η ευπάθεια που αναφέρεται σε πρόσφατα δημοσιεύματα των μέσων ενημέρωσης (CVE-2021-3199) διορθώθηκε στην έκδοση 5.6.3 των επεξεργαστών ONLYOFFICE, επομένως δεν επηρεάζει τις τρέχουσες εκδόσεις. Συνιστούμε ανεπιφύλακτα σε όποιον εκτελεί ακόμη παλαιότερη έκδοση να ενημερώσει σε ONLYOFFICE 10.0, το οποίο περιλαμβάνει επίσης όλες τις διορθώσεις ασφαλείας που αναφέρονται παραπάνω.

Σημείωση: Μπορεί να παρατηρήσετε ότι η ανακοίνωση της έκδοσής μας ανέφερε περίπου 35 διορθωμένες ευπάθειες, ενώ η ειδική ανάρτησή μας για την ασφάλεια ανέφερε περισσότερες από 40. Και οι δύο αριθμοί ήταν ακριβείς τη στιγμή της δημοσίευσης, πρόσθετες διορθώσεις οριστικοποιήθηκαν και προστέθηκαν στο changelog μεταξύ των δύο αναρτήσεων, και το άρθρο ασφαλείας καλύπτει επίσης τους επεξεργαστές desktop μαζί με τους online. Η τρέχουσα ανάρτηση αντικατοπτρίζει την πλήρη εικόνα.