BDU:2023-04737

Уязвимость компонента JavaScript File Handler офисного онлайн-пакета ONLYOFFICE DocumentServer, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2023-08-18

Описание

Уязвимость компонента JavaScript File Handler офисного онлайн-пакета ONLYOFFICE DocumentServer связана c некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем запуска специально сформированного JavaScript-файла

Затрагиваемое ПО и версии

ONLYOFFICE Docs (от 4.0.3 до 7.3.2 включительно)

Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки файлов и ссылок, полученных из недоверенных источников.

Использование рекомендаций:
https://github.com/ONLYOFFICE/core/commit/2b6ad83b36afd9845085b536969d366d1d61150a

Оценка CVSS

Балл	4.9 — средняя опасность

Источники и патчи

http://onlyoffice.com https://gist.github.com/merrychap/25eba8c4dd97c9e545edad1b8f0eadc2 https://github.com/ONLYOFFICE/DocumentServer https://github.com/ONLYOFFICE/core/blob/8ca40a44ce47a86168327a46db91253cf6bb205d/DesktopEditor/doctrenderer/https://github.com/ONLYOFFICE/core/blob/8ca40a44ce47a86168327a46db91253cf6bb205d/DesktopEditor/doctrenderer/embed/NativeControlEmbed.cpp#L110 https://github.com/ONLYOFFICE/core/commit/2b6ad83b36afd9845085b536969d366d1d61150a

Проверьте безопасность своего сайта и почты → Полная проверка домена