ONLYOFFICE 10.0 : un aperçu des 40 dernières corrections de sécurité

La sécurité fait partie de chaque version d’ONLYOFFICE. Lorsqu’une vulnérabilité est signalée, notre équipe s’emploie rapidement à la corriger afin que vos documents, vos utilisateurs et votre infrastructure restent protégés.

ONLYOFFICE 10.0 comprend plus de 40 corrections de sécurité pour les éditeurs en ligne et les applications de bureau. Elles couvrent la conversion de documents, la gestion des PDF, les macros, les intégrations et la configuration des serveurs. Pour les organisations qui s’appuient sur ONLYOFFICE pour des travaux sensibles, cette version renforce encore la protection.

Voici les changements.

Correction en détail : vulnérabilité XSS dans la fonction AI()

L’une des corrections de cette version traite d’une vulnérabilité XSS dans le champ Value de la fonction AI(). Son exploitation pourrait entraîner l’arrêt de l’éditeur.

Qu’est-ce que XSS ? Le Cross-site scripting (XSS) est une attaque consistant à injecter un script malveillant dans un contenu que d’autres utilisateurs ouvrent ensuite. Lorsque le script s’exécute, il peut perturber l’application, modifier l’affichage pour l’utilisateur ou tenter d’accéder à des données auxquelles il ne devrait pas avoir accès.

Pourquoi cette correction est-elle importante ?

• Elle garantit la disponibilité de l’éditeur. Une valeur malveillante ne peut plus faire planter l’éditeur, permettant ainsi à vos équipes de continuer à travailler.
• Elle protège les flux de travail assistés par l’IA. Les fonctionnalités IA traitent désormais une partie croissante du contenu utilisé au qutidien : les entrées qu’elles acceptent doivent être sûres.
• Elle réduit le risque sur les documents partagés. Dans des environnements collaboratifs, un fichier malveillant peut toucher de nombreux utilisateurs. La correction de cette faille protège tous ceux qui ouvrent le document.

Corrections de sécurité pour les éditeurs en ligne

ONLYOFFICE 10.0 corrige les vulnérabilités suivantes dans les éditeurs en ligne :

• Correction de la vulnérabilité XSS dans les liens hypertextes dans les documents DOCX
• Correction d’un contournement de bac à sable des macros
• Correction d’une écriture mémoire incorrecte lors de la conversion d’XLS en XLSX
• Correction de la vulnérabilité XSS dans le champ Nom lors de la création d’un assistant IA
• Correction d’un contournement d’autorisation lors de l’impression de PDF
• Correction d’un plantage du convertisseur lors du traitement de chaînes d’héritage de styles circulaires dans les fichiers DOCX
• Correction d’un dépassement de mémoire tampon lors de la lecture des données OLE pendant la conversion de documents en format hérité
• Correction d’un dépassement de tampon lors du rendu de masques d’image dans PDF
• Correction du contournement de bac à sable des macros avec accès aux cookies
• Correction de l’accès aux fichiers su système via la méthode native.GetFileBinary de l’API Document Builder
• Correction de la possibilité d’utiliser un jeton d’éditeur pour accéder à Document Builder
• Correction de la vulnérabilité SSRF dans le point de terminaison /ai-proxy
• Correction d’une lecture hors limites lors de la conversion de DOC à DOCX
• Correction d’une lecture hors limites lors du traitement des métadonnées PPT, entraînant une divulgation de mémoire dans le PPTX résultant
• Correction d’une lecture hors limites lors de l’analyse du formatage de caractères dans les fichiers DOC
• Correction d’une lecture hors limites lors de l’analyse de la table de fragments dans les fichiers DOC
• Correction de l’exécution de JavaScript intégré dans les documents PDF
• Correction de la vulnérabilité SSRF dans les points de terminaison WOPI
• Correction d’une double libération lors de la conversion de certains fichiers DOCX
• Correction d’une lecture hors limites lors de l’analyse de la table de polices dans les fichiers DOC
• Correction d’une écriture hors limites sur le tas causée par un dépassement d’entier lors de la conversion de documents
• Correction de la vulnérabilité XSS dans la fenêtre des arguments de fonction de l’éditeur de feuilles de calcul
• Correction de l’exécution de JavaScript malveillant ajouté aux actions de fichier PDF
• Correction d’une vulnérabilité de traversée de chemin lors du traitement de fichiers HML
• Correction de l’écriture de fichiers arbitraires lors de l’extraction d’archives pendant la conversion
• Correction de la lecture des fichiers locaux lors de la conversion EPUB
• Correction de la possibilité de créer le fichier runtime.json via une requête Document Builder
• Correction de la vulnérabilité XSS dans l’éditeur de documents texte via un nom de police ou de style dans le panneau de révision
• Correction d’une vulnérabilité XSS réfléchie sur la page /baseurl
• Correction de l’émission d’un jeton pour une requête WOPI de conversion et d’édition anonyme acceptée par l’API Document Builder
• Correction d’une lecture hors limites lors de la conversion d’XLS en XLSX
• Correction de la possibilité de spécifier un chemin de système de fichiers dans les paramètres de journalisation via runtime.json
• Correction du détournement de session de coédition lors de l’utilisation via WOPI
• Correction d’une vulnérabilité de traversée de chemin dans le gestionnaire de modèles pour la création de nouveaux fichiers via WOPI, entraînant une divulgation de la configuration du serveur
• Correction de vulnérabilités dans l’image Docker DocumentServer
• Correction d’un dépassement de mémoire tampon lors du traitement des polices dans les fichiers XPS
• Correction de la vulnérabilité XSS dans le plugin HTML lors du collage dans un document
• Correction de l’authentification des locataires sans un secret configuré en mode multitenant
• Correction d’une lecture hors limites lors du traitement des bitmaps EMF+, entraînant une divulgation de mémoire
• Correction d’une lecture hors limites lors du traitement des liens hypertextes dans les fichiers XLS, entraînant une divulgation de mémoire
• Correction d’une lecture hors limites lors du rendu de WMF, entraînant une divulgation de mémoire dans le document résultant
• Correction d’une élévation de privilèges via le script documentserver-flush-cache
• Correction des vulnérabilités CVE-2022-3602 et CVE-2022-3786 dans OpenSSL dans l’image Docker
• Correction de la vulnérabilité CVE-2022-23308 lors de la conversion de documents

Consultez la liste complète des corrections de sécurité pour ONLYOFFICE Desktop Editors ici.

Restez protégé : mettez à jour vers ONLYOFFICE 10.0

La manière la plus simple de bénéficier de toutes ces corrections est de maintenir votre installation à jour :

1. Vérifiez votre version actuelle. Cela est particulièrement important pour les déploiements auto-hébergés et sur site.
2. Consultez le journal des modifications. Confirmez quelles corrections s’appliquent à votre configuration, comme Docker, les intégrations WOPI ou le mode multitenant.
3. Mettez à jour vers la version 10.0.Utilisez les packages d’installation disponibles sur le site officiel d’ONLYOFFICE ou consultez le Centre d’aide.
4. Mettez à jour les applications de bureau dans toute votre organisation. Cela permet de garder chaque point d’accès protégé.

Foire aux questions

Ces corrections s’appliquent-elles à la fois aux éditeurs en ligne et aux applications de bureau ?

La plupart des corrections s’appliquent aux deux. Un petit nombre est propre à l’un ou à l’autre : par exemple, certaines corrections liées à WOPI et JWT ne concernent que les éditeurs en ligne, tandis que certains problèmes spécifiques à CEF n’affectent que les applications de bureau.

Dois-je mettre à jour si j’utilise ONLYOFFICE sur site ?

Oui. Les installations sur site et auto-hébergées ne se mettent pas à jour automatiquement. Nous vous recommandons vivement de le faire dès que possible pour bénéficier de toutes les corrections de sécurité de la version 10.0.

Qu’est-ce qu’un contournement du bac à sable des macros, et pourquoi est-ce important ?

ONLYOFFICE exécute les macros dans un environnement isolé (un « bac à sable ») pour les empêcher d’accéder à des ressources auxquelles elles n’ont pas droit. Un contournement du bac à sable signifie qu’une macro pourrait échapper à cette restriction. Cette version corrige deux de ces contournements, dont l’un permettait d’accéder aux cookies du navigateur. Ces corrections protègent les utilisateurs qui exécutent des macros dans des documents partagés ou sensibles.

Les fichiers PDF sont-ils maintenant plus sûrs à ouvrir dans ONLYOFFICE 10.0 ?

Oui. Plusieurs vulnérabilités liées aux PDF ont été corrigées, notamment l’exécution de JavaScript intégré, le JavaScript malveillant dans les actions de fichiers, le contournement d’autorisation lors de l’impression et la suppression de fichiers arbitraires à partir de documents PDF. Les PDF sont un vecteur courant de contenu malveillant, donc ces corrections sont particulièrement importantes pour les organisations qui traitent des documents provenant de sources externes.

Comment ONLYOFFICE gère-t-il les rapports de vulnérabilité ?

Nous prenons chaque rapport au sérieux. Lorsqu’une vulnérabilité est identifiée, que ce soit via des tests internes, des signalements de la communauté ou des chercheurs en sécurité, notre équipe travaille rapidement à développer et publier une correction. Nous tenons également un journal des modifications public afin que les utilisateurs puissent voir exactement ce qui a été corrigé dans chaque version.

Où puis-je signaler une vulnérabilité de sécurité ?

Si vous découvrez un problème de sécurité dans ONLYOFFICE, veuillez le signaler de manière responsable via notre contact de sécurité officiel : security@onlyoffice.com. Vous pouvez également consulter notre page Sécurité – Contactez-nous. Nous examinons tous les rapports et travaillerons avec vous pour résoudre le problème dans les meilleurs délais.

La vulnérabilité récemment signalée dans la presse (CVE-2021-3199) a-t-elle été corrigée dans ONLYOFFICE ?

Oui. La vulnérabilité mentionnée dans les récents rapports média (CVE-2021-3199) a été corrigée dans la version 5.6.3 des éditeurs ONLYOFFICE. Elle n’affecte pas les versions actuelles. Nous recommandons fortement à toute personne utilisant encore une ancienne version de mettre à jour vers ONLYOFFICE 10.0, qui inclut également toutes les corrections de sécurité énumérées ci-dessus.