Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2021-3199

ONLYOFFICE Document Server'da dizin geçişi ile uzaktan kod çalıştırma açığı

ONLYOFFICE Docs

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
9 Eki 2026
Açık yaşı
2105 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 8 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 11 Eki 2026.

Yönetici özeti

Belge düzenleme sunucusundaki bu kritik açık, dışarıdan kimsenin giriş yapmasına gerek kalmadan sunucunun ele geçirilmesine izin verebilir. Açığın aktif olarak saldırılarda kullanıldığı bilinmektedir, bu nedenle etkilenen sistemlerin acilen güncellenmesi ve olası bir ihlal açısından kontrol edilmesi gerekir.

ÖzetTürkçe

ONLYOFFICE Document Server'ın 5.6.3 öncesi sürümlerinde, JWT kullanıldığında /upload uç noktasındaki bir görsel yükleme parametresinde yer alan /.. dizisi ile dizin geçişi (path traversal) yapılabilmektedir. Bu durum uzaktan kod çalıştırmaya yol açabilir. Açık, kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilir ve CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, sunucuda kimlik doğrulaması olmadan kendi kodunu çalıştırabilir ve sistemin gizlilik, bütünlük ve erişilebilirlik üzerinde tam kontrol elde edebilir.

Kaynaktaki açıklama (İngilizce)

Directory traversal with remote code execution can occur in /upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a /.. sequence in an image upload parameter.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. ONLYOFFICE Document Server'ı 5.6.3 veya daha yeni bir sürüme güncelleyin; açık 5.6.3 öncesi sürümleri etkilemektedir. Genel öneri
  2. CISA KEV gereği, üretici talimatlarına uygun olarak azaltma önlemlerini uygulayın, CISA'nın BOD 26-04 yönergesine ve adli bilişim ön inceleme gereksinimlerine uyun. Her varlığın internete açıklığını değerlendirin. CISA
  3. Azaltma önlemleri uygulanamıyorsa ürünün kullanımını sonlandırmayı değerlendirin. CISA
  4. Güncelleme tamamlanana kadar sunucuya internetten erişimi güvenlik duvarı ile kısıtlayın veya yalnızca güvenilir ağlara açın. Genel öneri

Ek önlemler

  • Güncelleme öncesinde sunucunun ele geçirilip geçirilmediğini kontrol edin: /upload isteklerindeki şüpheli /.. dizilerini ve beklenmeyen dosya veya süreçleri inceleyin. Genel öneri
  • Document Server'ı doğrudan internete açmak yerine ters vekil sunucu veya WAF arkasında çalıştırın ve yükleme uç noktalarına gelen istekleri filtreleyin. Genel öneri
  • Document Server hizmetini en düşük yetkili hesapla çalıştırın ve dosya sistemi yazma izinlerini sınırlayın. Genel öneri
  • Kullanılan JWT gizli anahtarının güçlü olduğundan emin olun; ihlal şüphesi varsa anahtarı yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
ONLYOFFICE Docs Sürüm belirtilmemiş –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.