ONLYOFFICE Document Server: Directory Traversal mit Remote Code Execution

Zusammenfassung

ONLYOFFICE Document Server vor Version 5.6.3 enthält eine Directory-Traversal-Schwachstelle im Endpunkt /upload, wenn JWT verwendet wird. Ein Angreifer kann im Bild-Upload-Parameter eine /..-Sequenz übergeben und so auf Pfade ausserhalb des vorgesehenen Verzeichnisses zugreifen, was zu Remote Code Execution führen kann. CISA führt die Schwachstelle als aktiv ausgenutzt, und HKCERT meldet aktive Ausnutzung in freier Wildbahn. Ob ein gültiges Token nötig ist, ist umstritten; JWT sollte deshalb nicht als Schutzmassnahme gelten.

Betroffen

• ONLYOFFICE Document Server in Versionen vor 5.6.3
• Konfigurationen, in denen JWT verwendet wird (gemäss CVE-Beschreibung)

Behoben in

• Upgrade auf ONLYOFFICE Document Server 5.6.3 oder neuer
• Rückportierte Patches für ältere Versionszweige: Unbekannt.

Umgehung

• Kein Workaround des Herstellers gefunden. Die Behebung erfolgt durch das Upgrade.
• Übergangsmassnahmen (Empfehlung aus der Recherche, nicht aus einer Herstellerquelle): Zugriff auf Document Server nur für die einbindende Anwendung erlauben und direkten Internetzugriff auf /upload blockieren. Vorher prüfen, ob die Integration weiterhin funktioniert.
• Das Deaktivieren von JWT ist für diese CVE keine Massnahme.

Ausnutzung

• CISA hat die CVE am 2026-10-08 in den Katalog der bekanntermassen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen.
• HKCERT meldet, dass die CVE in freier Wildbahn ausgenutzt wird.
• Eine China-nahe Bedrohungsakteurin (Flax Typhoon) wird als beteiligt gemeldet; diese Zuordnung ist nicht bestätigt.
• Öffentlich verfügbarer Proof-of-Concept-Exploit-Code wird referenziert; er wurde nicht geprüft.

Unsere Empfehlung

• Alle Document-Server-Instanzen inventarisieren, einschliesslich Docker-Images und Appliances.
• Jede Instanz prioritär auf Version 5.6.3 oder neuer aktualisieren.
• Prüfen, ob eine Instanz aus dem Internet erreichbar ist, und den Zugriff auf die einbindende Anwendung beschränken.
• Für Instanzen, die vor dem Patchen exponiert waren, auf Anzeichen einer Kompromittierung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• HKCERT Security Bulletin www.hkcert.org
• ONLYOFFICE DocumentServer CHANGELOG (5.6.3) github.com
• VulDB entry 168767 vuldb.com
• The Hacker News: Flax Typhoon exploits five flaws thehackernews.com
• ONLYOFFICE Docs changelog (helpcenter) helpcenter.onlyoffice.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:25.