ONLYOFFICE 10.0: Detaljniji pregled najnovijih 40 ispravki bezbednosti

Bezbednost je deo svake verzije ONLYOFFICE-a. Kada se prijavi ranjivost, naš tim brzo radi na njenom ispravljanju kako bi vaši dokumenti, vaši korisnici i vaša infrastruktura ostali zaštićeni.

ONLYOFFICE 10.0 uključuje više od 40 ispravki bezbednosti za online uređivače i desktop aplikaciju. One pokrivaju konverziju dokumenata, obradu PDF-a, makroe, integracije i konfiguraciju servera. Za organizacije koje se oslanjaju na ONLYOFFICE za osetljiv rad, ova verzija dodaje još jedan sloj zaštite.

Evo šta se promenilo.

Ispravka u detaljima: XSS ranjivost u funkciji AI()

Jedna od ispravki u ovoj verziji rešava XSS ranjivost u polju Value funkcije AI(). Njeno iskorišćavanje moglo bi uzrokovati prestanak rada uređivača.

Šta je XSS? Skripting napad na više lokacija (XSS) je napad u kojem neko ubacuje zloćudnu skriptu u sadržaj koji drugi korisnici otvaraju. Kada se skripta izvrši, može da ometa aplikaciju, menja ono što korisnik vidi ili pokuša da pristupi podacima do kojih ne bi trebao da dođe.

Zašto je ova ispravka važna:

• Održava uređivač dostupnim. Prilagođena vrednost više ne može da sruši uređivač, tako da vaši timovi mogu da nastave sa radom.
• Štiti radne tokove pokrenute veštačkom inteligencijom. AI funkcije sada obrađuju više sadržaja s kojim ljudi svakodnevno rade, pa moraju da budu sigurni ulazi koje prihvataju.
• Smanjuje rizik u zajedničkim dokumentima. U zajedničkim okruženjima, jedna zloćudna datoteka može doći do mnogih korisnika. Zatvaranjem ovog razmaka štitimo sve koji otvore dokument.

Ispravke bezbednosti za online urednike

ONLYOFFICE 10.0 rešava sledeće ranjivosti u online urednicima:

• Ispravljena XSS ranjivost u hiperlinkovima u DOCX dokumentima
• Ispravljena zaobilaženje makro sandboks
• Ispravljena netačna upisivanje u memoriju prilikom konverzije XLS u XLSX
• Ispravljena XSS ranjivost u polju Ime prilikom kreiranja AI asistenta
• Ispravljeno zaobilaženje autorizacije pri štampanju PDF-a
• Ispravljena pad konvertora prilikom obrade kružnih stilskih nasleđa u DOCX
• Ispravljena prekomerna upotreba steka prilikom čitanja OLE podataka tokom konverzije dokumenata u legatnom formatu
• Ispravljena prekomerna upotreba heapa prilikom prikazivanja maski slika u PDF-u
• Ispravljeno zaobilaženje makro sandboksa sa pristupom kolačićima
• Ispravljen pristup OS datotekama putem native.GetFileBinary metode Document Builder API
• Ispravljena mogućnost korišćenja tokena uređivača za pristup Document Builder-u
• Ispravljena SSRF ranjivost u /ai-proxy kraju
• Ispravljena prekomerna upotreba pri čitanju prilikom konverzije DOC u DOCX
• Ispravljena prekomerna upotreba pri čitanju prilikom obrade PPT metafajlova, što je dovelo do otkrivanja memorije u rezultantnom PPTX
• Ispravljena prekomerna upotreba pri čitanju prilikom analiziranja formata karaktera u DOC datotekama
• Ispravljena prekomerna upotreba pri čitanju prilikom analiziranja tabele delova u DOC datotekama
• Ispravljena izvršavanje umetnutog JavaScript-a u PDF dokumentima
• Ispravljena SSRF ranjivost u WOPI krajevima
• Ispravljeno dvostruko oslobađanje prilikom konverzije određenih DOCX datoteka
• Ispravljena prekomerna upotreba pri čitanju prilikom analiziranja tabele fontova u DOC datotekama
• Ispravljena prekomerna upotreba heapa prouzrokovana prelivanjem celih brojeva tokom konverzije dokumenata
• Ispravljena XSS ranjivost u prozoru argumenata funkcije u Spreadsheet Editor-u
• Ispravljena izvršavanje zloćudnog JavaScript-a dodatog u akcije PDF datoteka
• Ispravljena ranjivost prelaska putanje prilikom obrade HML datoteka
• Ispravljeno proizvoljno pisanje fajlova prilikom vađenja arhiva tokom konverzije
• Ispravljeno čitanje lokalnih fajlova tokom EPUB konverzije
• Ispravljena mogućnost pravljenja runtime.json datoteke putem zahteva za Document Builder
• Ispravljena XSS ranjivost u Document Editor-u putem naziva fonta ili stila u panelu za pregled
• Ispravljena reflektovana XSS ranjivost na /baseurl stranici
• Ispravljeno izdavanje tokena za anonimni WOPI zahtev za konverziju i uređivanje koji je prihvaćen od strane Document Builder API
• Ispravljena prekomerna upotreba pri čitanju prilikom konverzije XLS u XLSX
• Ispravljena mogućnost navođenja proizvoljnog puta u sistemu datoteka u podešavanjima logovanja putem runtime.json
• Ispravljena otmica sesije ko-uređivanja prilikom rada putem WOPI
• Ispravljena ranjivost prelaska putanje u handler-u šablona za kreiranje novih fajlova putem WOPI, što je dovelo do otkrivanja konfiguracije servera
• Ispravljene ranjivosti u DocumentServer Docker slici
• Ispravljena prekomerna upotreba steka prilikom obrade fontova u XPS datotekama
• Ispravljena XSS ranjivost u HTML pluginu prilikom lepljenja u dokument
• Ispravljena autentifikacija zakupaca bez podešenog tajnog ključa u način više zakupaca
• Ispravljena prekomerna upotreba pri čitanju prilikom obrade EMF+ bitmapa, što je dovelo do otkrivanja memorije
• Ispravljena prekomerna upotreba pri čitanju prilikom obrade hiperlinkova u XLS, što je dovelo do otkrivanja memorije
• Ispravljena prekomerna upotreba pri čitanju prilikom renderovanja WMF, što je dovelo do otkrivanja memorije u rezultantnom dokumentu
• Ispravljena eskalacija privilegija putem dokumentserver-flush-cache skripte
• Ispravljene ranjivosti CVE-2022-3602 i CVE-2022-3786 u OpenSSL-u u Docker slici
• Ispravljena ranjivost CVE-2022-23308 tokom konverzije dokumenata

Pogledajte punu listu ispravki bezbednosti za desktop urednike ovde.

Ostanite zaštićeni: ažurirajte na ONLYOFFICE 10.0

Najjednostavniji način da iskoristite sve ove ispravke je da održavate vašu instalaciju ažuriranom:

1. Proverite vašu trenutnu verziju. Ovo je najvažnije za samostalno hostovane i lokalne instalacije.
2. Pregledajte changelog. Potvrdite koje ispravke se odnose na vašu instalaciju, poput Docker, WOPI integracija ili više zakupaca.
3. Ažurirajte na verziju 10.0. Koristite instalacione pakete sa zvanične ONLYOFFICE veb stranice ili posetite Centar za pomoć.
4. Ažurirajte desktop aplikacije u celoj vašoj organizaciji. Time se svaka tačka pristupa drži podjednako zaštićenom.

Česta pitanja

Da li se ove ispravke odnose i na online i na desktop urednike?

Većina ispravki se odnosi na obe. Mali broj je specifičan za jednu ili drugu, na primer, neke WOPI i JWT-srodne ispravke se odnose samo na online urednike, dok određeni CEF-specifični problemi utiču samo na desktop aplikacije.

Da li treba da ažuriram ako koristim ONLYOFFICE na lokaciji?

Da. Instalacije na lokaciji i samostalne instalacije se ne ažuriraju automatski. Čvrsto preporučujemo da to uradite što je pre moguće kako biste iskoristili sve ispravke bezbednosti u verziji 10.0.

Šta je zaobilaženje makro sandboks, i zašto je tome važnost?

ONLYOFFICE pokreće makroe u izolovanom okruženju („sandboks“) kako bi sprečio njihov pristup stvarima koje ne bi trebali da dotiču. Zaobilaženje sandboksa znači da bi makro mogao da izbegne to ograničenje. Ova verzija zatvara dva takva zaobilaženja, uključujući jedno koje je omogućilo pristup kolačićima preglednika. Ove ispravke štite korisnike koji pokreću makroe u zajedničkim ili osetljivim dokumentima.

Da li su PDF datoteke sada sigurnije za otvaranje u ONLYOFFICE 10.0?

Da. Nekoliko ranjivosti povezanih sa PDF-om je ispravljeno, uključujući izvršavanje umetnutog JavaScript-a, zloćudni JavaScript u akcijama datoteka, zaobilaženje autorizacije pri štampanju, i proizvoljno brisanje datoteka iz PDF dokumenata. PDF-ovi su uobičajen vektor za zloćudni sadržaj, tako da su ove ispravke posebno važne za organizacije koje obrađuju dokumente iz spoljnog izvora.

Kako ONLYOFFICE postupa sa izveštajima o ranjivostima?

Svaki izveštaj shvatamo ozbiljno. Kada se identifikuje ranjivost – bilo kroz interne testove, zajedničke izveštaje ili izveštaje bezbednosnih istraživača – naš tim brzo radi na razvoju i izdavanju ispravke. Takođe održavamo javnu istoriju izmena kako bi korisnici mogli da vide šta je tačno rešeno u svakoj verziji.

Gde mogu prijaviti bezbednosnu ranjivost?

Ako otkrijete bezbednosni problem u ONLYOFFICE-u, molimo vas da ga odgovorno prijavite putem našeg zvaničnog bezbednosnog kontakta security@onlyoffice.com. Takođe ste dobrodošli da posetite naš Bezbednost – Kontaktirajte nas. Pregledaćemo sve izveštaje i raditi sa vama kako bismo riješili problem što je pre moguće.

Da li je ranjivost koju su nedavno prijavili mediji (CVE-2021-3199) ispravljena u ONLYOFFICE-u?

Da. Ranjivost o kojoj se govori u nedavnim izveštajima medija (CVE-2021-3199) ispravljena je u verziji 5.6.3 urednika ONLYOFFICE-a, tako da ne utiče na trenutne verzije. Čvrsto preporučujemo svima koji i dalje koriste stariju verziju da ažuriraju na ONLYOFFICE 10.0, koja takođe uključuje sve ispravke bezbednosti navedene iznad.