ONLYOFFICE 10.0: un vistazo más cercano a las últimas 40 correcciones de seguridad

La seguridad es parte de cada lanzamiento de ONLYOFFICE. Cuando se informa de una vulnerabilidad, nuestro equipo trabaja para solucionarla rápidamente para que tus documentos, tus usuarios y tu infraestructura permanezcan protegidos.

ONLYOFFICE 10.0 incluye más de 40 correcciones de seguridad tanto para los editores en línea como para la aplicación de escritorio. Estas incluyen conversión de documentos, manejo de PDF, macros, integraciones y configuración del servidor. Para las organizaciones que dependen de ONLYOFFICE para trabajos sensibles, este lanzamiento añade una capa adicional de protección.

Aquí está lo que ha cambiado.

Corrección en detalle: vulnerabilidad XSS en la función AI()

Una de las correcciones en este lanzamiento aborda una vulnerabilidad XSS en el campo Value de la función AI(). La explotación de esta vulnerabilidad podría hacer que el editor dejara de funcionar.

¿Qué es XSS? La inyección de scripts entre sitios (XSS) es un ataque donde alguien inserta un script malicioso en contenido que otros usuarios abren. Cuando el script se ejecuta, puede interrumpir la aplicación, cambiar lo que ve el usuario o intentar acceder a datos que nunca debería alcanzar.

¿Por qué es importante esta corrección?

• Mantiene el editor disponible. Un valor manipulado ya no puede hacer que el editor se bloquee, por lo que tus equipos pueden seguir trabajando.
• Protege los flujos de trabajo impulsados por IA. Las funciones de IA ahora manejan más del contenido con el que las personas trabajan a diario, por lo que las entradas que aceptan deben ser seguras.
• Reduce el riesgo en documentos compartidos. En entornos colaborativos, un archivo malicioso puede llegar a muchos usuarios. Cerrar esta brecha protege a todos los que abren el documento.

Correcciones de seguridad para los editores en línea

ONLYOFFICE 10.0 resuelve las siguientes vulnerabilidades en los editores en línea:

• Corregida vulnerabilidad XSS en hipervínculos en documentos DOCX
• Corregida la posibilidad de eludir la sandbox de macros
• Corregida escritura de memoria incorrecta al convertir XLS a XLSX
• Corregida vulnerabilidad XSS en el campo Nombre al crear un asistente de IA
• Corregida la posibilidad de eludir la autorización al imprimir PDF
• Corregido bloqueo del convertidor al procesar cadenas de herencia de estilo circulares en DOCX
• Corregido desbordamiento de buffer en stack al leer datos OLE durante la conversión de documentos de formato heredado
• Corregido desbordamiento de buffer en heap al representar máscaras de imagen en PDF
• Corregida la posibilidad de eludir la sandbox de macros con acceso a cookies
• Corregido acceso a archivos del sistema operativo mediante el método native.GetFileBinary de la API de Document Builder
• Corregida la posibilidad de usar un token de editor para acceder a Document Builder
• Corregida vulnerabilidad SSRF en el endpoint /ai-proxy
• Corregida lectura fuera de límites al convertir DOC a DOCX
• Corregida lectura fuera de límites al procesar metafiles PPT, lo que condujo a la divulgación de memoria en el PPTX resultante
• Corregida lectura fuera de límites al analizar el formato de caracteres en archivos DOC
• Corregida lectura fuera de límites al analizar la tabla de piezas en archivos DOC
• Corregida ejecución de JavaScript incrustado en documentos PDF
• Corregida vulnerabilidad SSRF en los endpoints de WOPI
• Corregida doble liberación al convertir ciertos archivos DOCX
• Corregido lectura fuera de límites al analizar la tabla de fuentes en archivos DOC
• Corregida escritura fuera de límites en heap causada por desbordamiento de entero durante la conversión de documentos
• Corregida vulnerabilidad XSS en la ventana de argumentos de función en el Editor de Hojas de Cálculo
• Corregida ejecución de JavaScript malicioso añadido a acciones de archivos PDF
• Corregida vulnerabilidad de recorrido de ruta al procesar archivos HML
• Corregida escritura de archivos arbitrarios al extraer archivos durante la conversión
• Corregida lectura de archivos locales durante la conversión de EPUB
• Corregida la posibilidad de crear el archivo runtime.json a través de una solicitud de Document Builder
• Corregida vulnerabilidad XSS en el Editor de Documentos a través de un nombre de fuente o estilo en el panel de Revisión
• Corregida vulnerabilidad XSS reflejada en la página /baseurl
• Corregida emisión de un token para una solicitud anónima de conversión y edición de WOPI que fue aceptada por la API de Document Builder
• Corregida lectura fuera de límites al convertir XLS a XLSX
• Corregida la posibilidad de especificar una ruta de sistema de archivos arbitraria en la configuración de registro a través de runtime.json
• Corregido secuestro de sesión de coedición al trabajar a través de WOPI
• Corregida vulnerabilidad de recorrido de ruta en el manejador de plantillas para crear nuevos archivos a través de WOPI, que condujo a la divulgación de configuración del servidor
• Corregidas vulnerabilidades en la imagen Docker de DocumentServer
• Corregido desbordamiento de buffer en stack al procesar fuentes en archivos XPS
• Corregida vulnerabilidad XSS en el plugin HTML al pegar en un documento
• Corregida autenticación de inquilinos sin un secreto configurado en modo multitenencia
• Corregida lectura fuera de límites al procesar bitmaps EMF+, lo que llevó a la divulgación de memoria
• Corregida lectura fuera de límites al procesar hipervínculos en XLS, lo que llevó a la divulgación de memoria
• Corregida lectura fuera de límites al representar WMF, lo que condujo a la divulgación de memoria en el documento resultante
• Corregida escalada de privilegios a través del script documentserver-flush-cache
• Corregidas vulnerabilidades CVE-2022-3602 y CVE-2022-3786 en OpenSSL en la imagen Docker
• Corregida vulnerabilidad CVE-2022-23308 durante la conversión de documentos

Consulta la lista completa de correcciones de seguridad para los editores de escritorio aquí.

Mantente protegido: actualiza a ONLYOFFICE 10.0

La forma más sencilla de beneficiarse de todas estas correcciones es mantener tu instalación actualizada:

1. Verifica tu versión actual. Esto es muy importante para las implementaciones autohospedadas y locales.
2. Revisa el registro de cambios. Confirma qué correcciones se aplican a tu configuración, como Docker, integraciones WOPI o modo multitenencia.
3. Actualiza a la versión 10.0. Utiliza los paquetes de instalación del sitio web oficial de ONLYOFFICE o visita el Centro de Ayuda.
4. Actualiza las aplicaciones de escritorio en toda tu organización. Esto mantiene cada punto final igualmente protegido.

Preguntas frecuentes

¿Estas correcciones se aplican tanto a los editores en línea como a los de escritorio?

La mayoría de las correcciones se aplican a ambos. Un pequeño número son específicas de uno u otro, por ejemplo, algunas correcciones relacionadas con WOPI y JWT solo se aplican a los editores en línea, mientras que ciertos problemas específicos de CEF solo afectan a las aplicaciones de escritorio.

¿Necesito actualizar si estoy usando ONLYOFFICE localmente?

Sí. Las instalaciones locales y autohospedadas no se actualizan automáticamente. Recomendamos encarecidamente hacerlo lo antes posible para beneficiarse de todas las correcciones de seguridad en la versión 10.0.

¿Qué es la posibilidad de eludir la sandbox de macros y por qué es importante?

ONLYOFFICE ejecuta macros en un entorno aislado (una «sandbox») para evitar que accedan a cosas que no deberían. Un eludir la sandbox significa que una macro podría escapar de esa restricción. Este lanzamiento cierra dos de tales eludimientos, incluyendo uno que permitía el acceso a cookies del navegador. Estas correcciones protegen a los usuarios que ejecutan macros en documentos compartidos o sensibles.

¿Son ahora más seguros los archivos PDF para abrir en ONLYOFFICE 10.0?

Sí. Se corrigieron varias vulnerabilidades relacionadas con PDF, incluyendo la ejecución de JavaScript incrustado, JavaScript malicioso en acciones de archivos, eludir autorización al imprimir y eliminación arbitraria de archivos de documentos PDF. Los archivos PDF son un vector común para contenido malicioso, por lo que estas correcciones son especialmente importantes para las organizaciones que procesan documentos de fuentes externas.

¿Cómo maneja ONLYOFFICE los informes de vulnerabilidades?

Tomamos cada informe en serio. Cuando se identifica una vulnerabilidad (ya sea a través de pruebas internas, informes de la comunidad o investigadores de seguridad) nuestro equipo trabaja rápidamente para desarrollar y lanzar una corrección. También mantenemos un registro de cambios público para que los usuarios puedan ver exactamente lo que se abordó en cada versión.

¿Dónde puedo informar una vulnerabilidad de seguridad?

Si descubres un problema de seguridad en ONLYOFFICE, infórmalo responsablemente a través de nuestro contacto oficial de seguridad security@onlyoffice.com. También puedes visitar nuestra página de Seguridad – Contáctanos. Revisamos todos los informes y trabajaremos para abordar el problema lo antes posible.

¿Se ha corregido la vulnerabilidad reportada recientemente en la prensa (CVE-2021-3199) en ONLYOFFICE?

Sí. La vulnerabilidad mencionada en informes recientes de los medios (CVE-2021-3199) fue corregida en la versión 5.6.3 de los editores ONLYOFFICE, por lo que no afecta a las versiones actuales. Recomendamos encarecidamente que cualquier persona que aún esté utilizando una versión anterior actualice a ONLYOFFICE 10.0, que también incluye todas las correcciones de seguridad enumeradas anteriormente.