ثغرة اجتياز المسار في ONLYOFFICE Docs تتيح تنفيذ التعليمات البرمجية عن بُعد

نظرة عامة على الثغرة

يحتوي ONLYOFFICE Docs Server على ثغرة اجتياز المسار المتعقبة برقم CVE-2021-3199 التي تؤثر على عمليات النشر التي تستخدم مصادقة JWT. تتيح هذه الثغرة للمهاجمين التلاعب بمعاملات رفع الصور من خلال إدراج تسلسلات /..، متجاوزين بذلك قيود الدليل. تُنشئ هذه الثغرة مساراً لـتنفيذ التعليمات البرمجية عن بُعد، مما يمكّن المهاجمين من تشغيل أوامر عشوائية على الخادم المستضيف لمنصة التعاون على المستندات.

تستهدف الثغرة تحديداً وظيفة رفع الصور عند تكوين رموز JWT للمصادقة. يمكن للمهاجمين الذين يستغلون هذه الثغرة اجتياز بنية نظام الملفات، مما قد يتيح وضع ملفات ضارة في أدلة قابلة للتنفيذ أو الكتابة فوق ملفات النظام الحرجة.

المخاطر على المؤسسات السعودية

تواجه المؤسسات الخاضعة للتنظيم في المملكة التي تستخدم ONLYOFFICE Docs للتعاون على المستندات مخاطر كبيرة إذا كانت عمليات النشر لديها متاحة عبر الإنترنت ولم تطبق تدابير المورّد. يجب على المؤسسات المالية ومقدمي الرعاية الصحية والجهات الحكومية التي تتعامل مع بيانات حساسة عبر منصات المستندات التعاونية إعطاء الأولوية لتقييم تثبيتات ONLYOFFICE لديها.

تعني قدرة تنفيذ التعليمات البرمجية عن بُعد أن المهاجمين قد يحصلون على سيطرة كاملة على الخوادم المتأثرة، مما قد يتيح الوصول إلى المستندات السرية أو بيانات العملاء أو استخدام الأنظمة المخترقة كنقاط ارتكاز لاختراق أوسع للشبكة.

إرشادات المعالجة

يجب على المؤسسات الرجوع فوراً إلى وثائق مورّد ONLYOFFICE للحصول على التحديثات الأمنية المتاحة وتطبيقها وفقاً لإجراءات إدارة التغيير لديها. في حال عدم توفر التدابير أو عدم إمكانية تطبيقها بسرعة، ينبغي للمؤسسات النظر في عزل الأنظمة المتأثرة عن الوصول للإنترنت أو إيقاف الاستخدام حتى نشر التصحيحات. تتطلب جميع نسخ ONLYOFFICE Docs المواجهة للإنترنت جرداً فورياً وتقييماً للمخاطر لتحديد مستويات التعرض وترتيب أولويات جهود المعالجة.