ONLYOFFICE Docs CVE-2021-3199: path traversal și RCE exploatate

Pe 8 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) vulnerabilitatea CVE-2021-3199 din ONLYOFFICE Document Server, serverul care deschide și editează documentele în ONLYOFFICE Docs. Un path traversal în endpointul /upload permite execuția de cod de la distanță pe server. Gravitatea este critică: CVSS 3.1 9.8.

Vulnerabilitatea este publică din ianuarie 2021 și afectează versiunile anterioare versiunii 5.6.3. Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă: instalările rămase în urmă trebuie actualizate cu prioritate.

Ce s-a întâmplat

CISA a inclus CVE-2021-3199 în KEV cu descrierea „ONLYOFFICE Docs Server Path Traversal Vulnerability” și a stabilit termenul de 11 octombrie 2026 pentru agențiile federale americane: trei zile. În catalog, folosirea în campanii ransomware este indicată ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Pentru serviciile cloud se aplică indicațiile aceleiași directive; dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

CISA nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2021-3199, publicată pe 26 ianuarie 2021. Fișa NVD a fost actualizată pe 9 octombrie 2026.
• Produs și versiuni: ONLYOFFICE Document Server anterior versiunii 5.6.3 (configurație CPE: onlyoffice document_server < 5.6.3). Printre referințele fișei se află changelogul versiunii 5.6.3.
• Mecanism: conform descrierii NVD, o secvență /.. introdusă într-un parametru al încărcării de imagini, în endpointul /upload, iese din folderul prevăzut (directory traversal) și permite execuția de cod de la distanță. Descrierea precizează că problema apare când se folosește JWT, mecanismul de tokenuri cu care serverul de documente autentifică cererile.
• Gravitate: CVSS 3.1 9.8 (critică), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, atât în evaluarea NIST, cât și într-o a doua evaluare inclusă în fișă. Vectorul indică un atac prin rețea, de complexitate redusă, fără privilegii și fără interacțiunea utilizatorului, cu impact ridicat asupra confidențialității, integrității și disponibilității. În CVSS 2 scorul este 7.5 (ridicat).
• Slăbiciune: CWE-22 (limitarea incorectă a unei căi la un director restricționat, adică path traversal).
• Cod public: printre referințe, fișa NVD include două scripturi de test publice pe GitHub (poc_uploadImageFile.py), clasificate drept „Exploit”. Detaliile necesare exploatării sunt deci la îndemâna oricui.
• MITRE ATT&CK: pentru un server accesibil din Internet, exploatarea corespunde tehnicii T1190, Exploit Public-Facing Application.

Impactul pentru companiile europene și italiene

Serverul de documente prelucrează fișierele pe care utilizatorii le deschid și le editează în browser: contracte, oferte, documente de personal. Cine execută cod pe acest server poate ajunge la documentele care trec prin el și, în funcție de modul de instalare, îl poate folosi ca punct de sprijin spre restul rețelei. Dacă documentele conțin date personale, un acces neautorizat poate constitui o încălcare a securității datelor conform GDPR, care trebuie evaluată pentru notificarea autorității de supraveghere în termen de 72 de ore.

Vechimea vulnerabilității nu o face mai puțin relevantă. Instalările locale sunt adesea configurate o singură dată și apoi uitate sau sunt administrate de un furnizor extern împreună cu platforma de partajare a fișierelor: de aceea, versiuni vechi de ani de zile pot fi încă în producție. Includerea în KEV arată că cineva le caută.

Pentru entitățile care intră sub incidența NIS2, vulnerabilitatea ține de gestionarea vulnerabilităților și de securitatea lanțului de aprovizionare: instalările administrate de terți trebuie verificate împreună cu furnizorul. Un incident semnificativ trebuie notificat CSIRT-ului național, care în Italia este CSIRT Italia al ACN. În sănătate, unde documentele conțin adesea date medicale, compromiterea serverului de documente are consecințe mai grave, iar verificarea trebuie făcută fără întârziere.

Ce trebuie făcut acum

1. Fă inventarul: identifică toate instanțele ONLYOFFICE Document Server, inclusiv cele instalate împreună cu alte platforme sau administrate de furnizori, și versiunea fiecăreia.
2. Actualizează: adu fiecare instanță cel puțin la 5.6.3, versiunea indicată ca limită în fișa NVD, și de preferință la cea mai recentă versiune suportată de producător.
3. Redu expunerea: limitează accesul la serverul de documente la cei care au cu adevărat nevoie de el; dacă nu trebuie să fie accesibil din tot Internetul, pune-l în spatele VPN-ului sau al proxy-ului invers.
4. Dacă nu poți actualiza imediat: urmează instrucțiunile producătorului, așa cum cere CISA; dacă nu există măsuri de atenuare, deconectează serviciul.
5. Detectează: caută în jurnalele serverului web și ale proxy-ului invers cereri către /upload cu secvențe /.., inclusiv codificate, în parametri. Verifică fișierele create sau modificate în afara folderelor de lucru ale serverului de documente și procesele neobișnuite pornite de utilizatorul serviciului.
6. Dacă găsești urme de exploatare: izolează serverul, păstrează jurnalele și imaginile discului pentru analiza criminalistică înainte de reinstalare și schimbă cheile și secretele configurate pe server, inclusiv secretul JWT.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate de atacatori, precum CVE-urile din catalogul KEV; dacă un server este suspect, permite izolarea lui din rețea. ARX Expose verifică serviciile pe care compania ta le expune pe Internet, produsele recunoscute și vulnerabilitățile lor cunoscute. ARX Sentry colectează jurnale și evenimente de pe servere și controlează integritatea fișierelor în folderele stabilite, astfel încât scrierile nepotrivite rămân vizibile.

Ultima actualizare: 8 octombrie 2026