ONLYOFFICE 10.0: uma visão mais próxima das 40 correções de segurança mais recentes

A segurança é parte de cada lançamento do ONLYOFFICE. Quando uma vulnerabilidade é relatada, nossa equipe trabalha para corrigi-la rapidamente, de modo que seus documentos, seus usuários e sua infraestrutura permaneçam protegidos.

ONLYOFFICE 10.0 inclui mais de 40 correções de segurança tanto para os editores online quanto para o aplicativo de desktop. Elas abrangem conversão de documentos, manipulação de PDF, macros, integrações e configuração do servidor. Para organizações que dependem do ONLYOFFICE para trabalhos sensíveis, este lançamento adiciona mais uma camada de proteção.

Aqui está o que mudou.

Correção em detalhe: vulnerabilidade XSS na função AI()

Uma das correções neste lançamento aborda uma vulnerabilidade XSS no campo Value da função AI(). Explorá-la poderia fazer o editor parar de funcionar.

O que é XSS? O Cross-Site Scripting (XSS) é um ataque onde alguém injeta um script malicioso em um conteúdo que outros usuários abrem. Quando o script é executado, ele pode interromper o aplicativo, alterar o que o usuário vê ou tentar acessar dados que nunca deveria acessar.

Por que essa correção é importante:

• Mantém o editor disponível. Um valor elaborado não pode mais travar o editor, assim suas equipes podem continuar trabalhando.
• Protege fluxos de trabalho baseados em IA. As funcionalidades de IA agora lidam com mais do conteúdo com o qual as pessoas trabalham todos os dias, então as entradas que aceitam precisam ser seguras.
• Reduz o risco em documentos compartilhados. Em ambientes colaborativos, um arquivo malicioso pode alcançar muitos usuários. Fechar essa lacuna protege todos que abrem o documento.

Correções de segurança para os editores online

O ONLYOFFICE 10.0 resolve as seguintes vulnerabilidades nos editores online:

• Corrigida vulnerabilidade XSS em hyperlinks em documentos DOCX
• Corrigido contorno de sandbox de macro
• Corrigida escrita de memória incorreta ao converter XLS para XLSX
• Corrigida vulnerabilidade XSS no campo Nome ao criar um assistente de IA
• Corrigido contorno de autorização ao imprimir PDF
• Corrigido travamento do conversor ao processar cadeias de herança de estilo circulares em DOCX
• Corrigido estouro de buffer de pilha ao ler dados OLE durante a conversão de documentos em formato legado
• Corrigido estouro de buffer de heap ao renderizar máscaras de imagem em PDF
• Corrigido contorno de sandbox de macro com acesso a cookies
• Corrigido acesso a arquivos do SO via o método native.GetFileBinary da API Document Builder
• Corrigida a possibilidade de usar um token de editor para acessar o Document Builder
• Corrigida vulnerabilidade SSRF no endpoint /ai-proxy
• Corrigido leitura fora dos limites ao converter DOC para DOCX
• Corrigida leitura fora dos limites ao processar metafiles PPT, levando a vazamento de memória no resultado PPTX
• Corrigida leitura fora dos limites ao analisar formatação de caracteres em arquivos DOC
• Corrigida leitura fora dos limites ao analisar a tabela de peças em arquivos DOC
• Corrigida execução de JavaScript embutido em documentos PDF
• Corrigida vulnerabilidade SSRF em endpoints WOPI
• Corrigido duplo free ao converter certos arquivos DOCX
• Corrigida leitura fora dos limites ao analisar a tabela de fontes em arquivos DOC
• Corrigido escrita fora dos limites de heap causada por estouro de inteiro durante a conversão de documentos
• Corrigida vulnerabilidade XSS na janela de argumentos de função no editor de planilhas
• Corrigida execução de JavaScript malicioso adicionado às ações de arquivos PDF
• Corrigida vulnerabilidade de travessia de caminho ao processar arquivos HML
• Corrigida escrita de arquivo arbitrário ao extrair arquivos durante a conversão
• Corrigida leitura de arquivo local durante a conversão de EPUB
• Corrigida a possibilidade de criar o arquivo runtime.json via uma solicitação do Document Builder
• Corrigida vulnerabilidade XSS no Editor de Documentos via um nome de fonte ou estilo no painel de Revisão
• Corrigida vulnerabilidade XSS refletida na página /baseurl
• Corrigida emissão de um token para uma solicitação anônima de conversão e edição WOPI que foi aceita pela API Document Builder
• Corrigida leitura fora dos limites ao converter XLS para XLSX
• Corrigida a possibilidade de especificar um caminho de sistema de arquivos arbitrário nas configurações de log via runtime.json
• Corrigido sequestro de sessão de coedição ao trabalhar via WOPI
• Corrigida vulnerabilidade de travessia de caminho no manipulador de modelo para criar novos arquivos via WOPI, que levou ao vazamento da configuração do servidor
• Corrigidas vulnerabilidades na imagem Docker do DocumentServer
• Corrigido estouro de buffer de pilha ao processar fontes em arquivos XPS
• Corrigida vulnerabilidade XSS no plugin HTML ao colar em um documento
• Corrigida autenticação de locatários sem um segredo configurado em modo multitenante
• Corrigida leitura fora dos limites ao processar bitmaps EMF+, que levou a vazamento de memória
• Corrigida leitura fora dos limites ao processar hyperlinks em XLS, que levou a vazamento de memória
• Corrigida leitura fora dos limites ao renderizar WMF, que levou a vazamento de memória no documento resultante
• Corrigida elevação de privilégio via script documentserver-flush-cache
• Corrigidas vulnerabilidades CVE-2022-3602 e CVE-2022-3786 no OpenSSL na imagem Docker
• Corrigida vulnerabilidade CVE-2022-23308 durante a conversão de documentos

Confira a lista completa de correções de segurança para os editores de desktop aqui.

Permaneça protegido: atualize para o ONLYOFFICE 10.0

A maneira mais simples de se beneficiar de todas essas correções é manter sua instalação atualizada:

1. Verifique sua versão atual. Isso é mais importante para implantações auto-hospedadas e locais.
2. Revise o registro de alterações. Confirme quais correções se aplicam à sua configuração, como Docker, integrações WOPI ou modo multitenante.
3. Atualize para a versão 10.0. Use os pacotes de instalação do site oficial do ONLYOFFICE ou visite o Central de Ajuda.
4. Atualize os aplicativos de desktop em toda a sua organização. Isso mantém cada ponto de acesso igualmente protegido.

Perguntas frequentes

Essas correções se aplicam aos editores online e de desktop?

A maioria das correções se aplica a ambos. Um pequeno número é específico para um ou outro, por exemplo, algumas correções relacionadas ao WOPI e JWT se aplicam apenas aos editores online, enquanto certos problemas específicos do CEF afetam apenas os aplicativos de desktop.

Preciso atualizar se estou usando o ONLYOFFICE localmente?

Sim. Instalações locais e auto-hospedadas não são atualizadas automaticamente. Nós recomendamos fortemente que isso seja feito o mais rápido possível para se beneficiar de todas as correções de segurança na versão 10.0.

O que é um contorno de sandbox de macro e por que isso importa?

O ONLYOFFICE executa macros em um ambiente isolado (uma “sandbox”) para evitar que acessem coisas que não deveriam. Um contorno de sandbox significa que uma macro poderia escapar dessa restrição. Este lançamento fecha dois desses contornos, incluindo um que permitia acesso a cookies do navegador. Essas correções protegem usuários que executam macros em documentos compartilhados ou sensíveis.

Os arquivos PDF agora são mais seguros para abrir no ONLYOFFICE 10.0?

Sim. Várias vulnerabilidades relacionadas a PDF foram corrigidas, incluindo a execução de JavaScript embutido, JavaScript malicioso em ações de arquivos, contorno de autorização ao imprimir e exclusão arbitrária de arquivos a partir de documentos PDF. PDFs são um vetor comum para conteúdo malicioso, então essas correções são especialmente importantes para organizações que processam documentos de fontes externas.

Como o ONLYOFFICE lida com relatórios de vulnerabilidade?

Levamos cada relatório a sério. Quando uma vulnerabilidade é identificada — seja através de testes internos, relatórios da comunidade ou pesquisadores de segurança — nossa equipe trabalha rapidamente para desenvolver e lançar uma correção. Também mantemos um registro de alterações público para que os usuários possam ver exatamente o que foi abordado em cada versão.

Onde posso relatar uma vulnerabilidade de segurança?

Se você descobrir um problema de segurança no ONLYOFFICE, por favor, relate-o de forma responsável através de nosso contato de segurança oficial security@onlyoffice.com. Você também é bem-vindo a visitar nossa página de contato de Segurança – Fale Conosco. Nós revisamos todos os relatos e trabalharemos com você para resolver o problema o mais rápido possível.

A vulnerabilidade recentemente relatada na imprensa (CVE-2021-3199) foi corrigida no ONLYOFFICE?

Sim. A vulnerabilidade mencionada em relatórios de mídia recentes (CVE-2021-3199) foi corrigida na versão 5.6.3 dos editores ONLYOFFICE, então não afeta versões atuais. Recomendamos fortemente que qualquer pessoa que ainda esteja executando uma versão mais antiga atualize para o ONLYOFFICE 10.0, que também inclui todas as correções de segurança listadas acima.