ONLYOFFICE 10.0: uno sguardo più da vicino alle ultime 40 correzioni di sicurezza

La sicurezza fa parte di ogni rilascio di ONLYOFFICE. Quando viene segnalata una vulnerabilità, il nostro team lavora rapidamente per risolverla, perché i tuoi documenti, i tuoi utenti e la tua infrastruttura restino protetti.

ONLYOFFICE 10.0 include più di 40 correzioni di sicurezza, sia per gli editor online che per l’app desktop. Riguardano la conversione dei documenti, la gestione dei PDF, le macro, le integrazioni e la configurazione del server. Per le organizzazioni che usano ONLYOFFICE per lavori sensibili, questo rilascio aggiunge un ulteriore livello di protezione.

Ecco cosa è cambiato.

Una correzione in dettaglio: la vulnerabilità XSS nella funzione AI()

Una delle correzioni di questo rilascio riguarda una vulnerabilità XSS nel campo Value della funzione AI(). Sfruttandola, era possibile far arrestare l’editor.

Cos’è l’XSS? Il cross-site scripting (XSS) è un attacco in cui qualcuno inietta uno script malevolo in un contenuto che altri utenti aprono. Quando lo script viene eseguito, può bloccare l’applicazione, modificare ciò che l’utente vede o tentare di raggiungere dati a cui non dovrebbe mai avere accesso.

Perché questa correzione è importante:

• Mantiene l’editor disponibile. Un valore costruito ad arte non può più far arrestare l’editor, così i tuoi team possono continuare a lavorare.
• Protegge i flussi di lavoro basati sull’AI. Le funzioni AI gestiscono ormai una parte sempre più grande dei contenuti con cui le persone lavorano ogni giorno, quindi gli input che accettano devono essere sicuri.
• Riduce il rischio nei documenti condivisi. In un ambiente collaborativo, un file malevolo può colpire molti utenti. Chiudere questa falla protegge tutti quelli che aprono il documento.

Correzioni di sicurezza per gli editor online

ONLYOFFICE 10.0 risolve le seguenti vulnerabilità negli editor online:

• Correzione della vulnerabilità XSS nei collegamenti ipertestuali dei documenti DOCX
• Correzione del bypass della sandbox delle macro
• Correzione di una scrittura errata in memoria durante la conversione da XLS a XLSX
• Correzione della vulnerabilità XSS nel campo Name durante la creazione di un assistente AI
• Correzione del bypass dell’autorizzazione durante la stampa dei PDF
• Correzione del crash del convertitore durante l’elaborazione di catene circolari di ereditarietà degli stili in DOCX
• Correzione di un overflow del buffer nello stack durante la lettura dei dati OLE nella conversione di documenti in formato legacy
• Correzione di un overflow del buffer nell’heap durante il rendering delle maschere delle immagini nei PDF
• Correzione del bypass della sandbox delle macro con accesso ai cookie
• Correzione dell’accesso ai file del sistema operativo tramite il metodo native.GetFileBinary dell’API di Document Builder
• Correzione della possibilità di usare un token dell’editor per accedere a Document Builder
• Correzione della vulnerabilità SSRF nell’endpoint /ai-proxy
• Correzione di una lettura fuori dai limiti durante la conversione da DOC a DOCX
• Correzione di una lettura fuori dai limiti durante l’elaborazione dei metafile PPT, che esponeva contenuti della memoria nel PPTX risultante
• Correzione di una lettura fuori dai limiti durante l’analisi della formattazione dei caratteri nei file DOC
• Correzione di una lettura fuori dai limiti durante l’analisi della piece table nei file DOC
• Correzione dell’esecuzione di JavaScript incorporato nei documenti PDF
• Correzione della vulnerabilità SSRF negli endpoint WOPI
• Correzione di un double free (doppia liberazione della memoria) durante la conversione di alcuni file DOCX
• Correzione di una lettura fuori dai limiti durante l’analisi della tabella dei font nei file DOC
• Correzione di una scrittura fuori dai limiti nell’heap, causata da un overflow di interi durante la conversione dei documenti
• Correzione della vulnerabilità XSS nella finestra degli argomenti delle funzioni nell’Editor di fogli di calcolo
• Correzione dell’esecuzione di JavaScript malevolo aggiunto alle azioni dei file PDF
• Correzione della vulnerabilità di path traversal durante l’elaborazione dei file HML
• Correzione della scrittura di file arbitrari durante l’estrazione degli archivi nella conversione
• Correzione della lettura di file locali durante la conversione EPUB
• Correzione della possibilità di creare il file runtime.json tramite una richiesta a Document Builder
• Correzione della vulnerabilità XSS nell’Editor di documenti tramite il nome di un font o di uno stile nel pannello Revisioni
• Correzione della vulnerabilità XSS riflessa nella pagina /baseurl
• Correzione dell’emissione di un token per una richiesta WOPI anonima di conversione e modifica, accettata dall’API di Document Builder
• Correzione di una lettura fuori dai limiti durante la conversione da XLS a XLSX
• Correzione della possibilità di specificare un percorso arbitrario del file system nelle impostazioni di logging tramite runtime.json
• Correzione del furto di sessione di co-editing durante il lavoro tramite WOPI
• Correzione della vulnerabilità di path traversal nel gestore dei modelli per la creazione di nuovi file tramite WOPI, che portava alla divulgazione della configurazione del server
• Correzione delle vulnerabilità nell’immagine Docker di DocumentServer
• Correzione di un overflow del buffer nello stack durante l’elaborazione dei font nei file XPS
• Correzione della vulnerabilità XSS nel plugin HTML durante il copia e incolla in un documento
• Correzione dell’autenticazione dei tenant senza un segreto configurato in modalità multitenant
• Correzione di una lettura fuori dai limiti durante l’elaborazione delle bitmap EMF+, che esponeva contenuti della memoria
• Correzione di una lettura fuori dai limiti durante l’elaborazione dei collegamenti ipertestuali in XLS, che esponeva contenuti della memoria
• Correzione di una lettura fuori dai limiti durante il rendering WMF, che esponeva contenuti della memoria nel documento risultante
• Correzione dell’escalation dei privilegi tramite lo script documentserver-flush-cache
• Correzione delle vulnerabilità CVE-2022-3602 e CVE-2022-3786 di OpenSSL nell’immagine Docker
• Correzione della vulnerabilità CVE-2022-23308 durante la conversione dei documenti

L’elenco completo delle correzioni di sicurezza per gli editor desktop è disponibile qui.

Rimani protetto: aggiorna a ONLYOFFICE 10.0

Il modo più semplice per avere tutte queste correzioni è tenere aggiornata la propria installazione:

1. Controlla la versione che stai usando. È particolarmente importante per le installazioni self-hosted e on-premises.
2. Leggi il changelog. Verifica quali correzioni riguardano la tua configurazione, per esempio Docker, integrazioni WOPI o modalità multitenant.
3. Aggiorna alla versione 10.0. Usa i pacchetti di installazione disponibili sul sito ufficiale di ONLYOFFICE, oppure consulta il Centro Assistenza.
4. Aggiorna le app desktop della tua organizzazione. In questo modo ogni endpoint resta protetto allo stesso modo.

FAQ

Queste correzioni valgono sia per gli editor online che per quelli desktop?

La maggior parte vale per entrambi. Un piccolo numero riguarda solo gli uni o gli altri: per esempio, alcune correzioni relative a WOPI e JWT valgono solo per gli editor online, mentre alcuni problemi specifici di CEF riguardano solo le app desktop.

Devo aggiornare se uso ONLYOFFICE on-premises?

Sì. Le installazioni on-premises e self-hosted non si aggiornano automaticamente. Ti consigliamo vivamente di aggiornare il prima possibile per avere tutte le correzioni di sicurezza della versione 10.0.

Cos’è un bypass della sandbox delle macro e perché è importante?

ONLYOFFICE esegue le macro in un ambiente isolato (una “sandbox”) per impedire che accedano a elementi a cui non dovrebbero. Un bypass della sandbox significa che una macro potrebbe uscire da quella restrizione. Questo rilascio chiude due bypass di questo tipo, tra cui uno che permetteva di accedere ai cookie del browser. Queste correzioni proteggono chi esegue macro in documenti condivisi o sensibili.

I file PDF sono più sicuri da aprire in ONLYOFFICE 10.0?

Sì. Sono state risolte diverse vulnerabilità legate ai PDF, tra cui l’esecuzione di JavaScript incorporato, JavaScript malevolo nelle azioni dei file, il bypass dell’autorizzazione durante la stampa e la cancellazione arbitraria di file dai documenti PDF. I PDF sono un veicolo molto comune di contenuti malevoli, quindi queste correzioni sono particolarmente importanti per le organizzazioni che elaborano documenti provenienti da fonti esterne.

Come gestisce ONLYOFFICE le segnalazioni di vulnerabilità?

Prendiamo sul serio ogni segnalazione. Quando individuiamo una vulnerabilità, che sia attraverso test interni, segnalazioni della community o ricercatori di sicurezza, il nostro team lavora rapidamente per sviluppare e rilasciare una correzione. Teniamo anche un changelog pubblico, così chiunque può vedere esattamente quali problemi sono stati risolti in ogni versione.

Dove posso segnalare una vulnerabilità di sicurezza?

Se trovi un problema di sicurezza in ONLYOFFICE, ti chiediamo di segnalarlo in modo responsabile al nostro contatto ufficiale per la sicurezza, security@onlyoffice.com. Puoi anche visitare la nostra pagina Sicurezza – Contattaci. Esaminiamo tutte le segnalazioni e lavoreremo con te per risolvere il problema il più in fretta possibile.

La vulnerabilità di stampa segnalata di recente (CVE-2021-3199) è stata corretta in ONLYOFFICE?

Sì. La vulnerabilità citata nei recenti articoli di stampa (CVE-2021-3199) è stata corretta nella versione 5.6.3 degli editor ONLYOFFICE, quindi non riguarda le versioni attuali. Consigliamo vivamente a chi usa ancora una versione precedente di aggiornare a ONLYOFFICE 10.0, che include anche tutte le correzioni di sicurezza elencate sopra.