CISA zaradila CVE-2021-3199 v ONLYOFFICE Docs medzi aktívne zneužívané zraniteľnosti
CISA eviduje CVE-2021-3199 v ONLYOFFICE Docs ako aktívne zneužívanú. Správcovia majú aktualizovať Document Server aspoň na verziu 5.6.3.
CVE-2021-3199 ONLYOFFICE zaradila CISA 8. októbra 2026 do katalógu Known Exploited Vulnerabilities (KEV), teda medzi zraniteľnosti evidované ako zneužívané vo voľnej prírode. Chyba sa týka verzií ONLYOFFICE Document Server pred verziou 5.6.3.
Ide o staršiu chybu typu path traversal. Pri použití JWT môže prostredníctvom parametra na nahrávanie obrázka viesť k vzdialenému spusteniu kódu. Neaktualizované servery, najmä tie dostupné z internetu, tak môžu byť vystavené riziku prevzatia systému.
CVE-2021-3199 ONLYOFFICE: oprava je dostupná od verzie 5.6.3
Výrobca chybu opravil vo verzii ONLYOFFICE Document Server 5.6.3. CISA aj bezpečnostné upozornenie HKCERT odporúčajú prejsť minimálne na túto alebo novšiu verziu.
CISA stanovila pre federálne civilné agentúry USA termín nápravy do 11. októbra 2026. Termín nápravy sa týka týchto amerických inštitúcií, zaradenie do KEV je však relevantné aj pre ostatných správcov, pretože ide o potvrdené zneužívanie, nie iba teoretický scenár.
Čo by mali správcovia preveriť
Organizácie používajúce ONLYOFFICE Docs by mali identifikovať inštalácie Document Servera staršie než 5.6.3 a čo najskôr ich aktualizovať. Osobitnú pozornosť vyžadujú verejne dostupné nasadenia a prostredia, v ktorých je povolené JWT.
- overiť používanú verziu ONLYOFFICE Document Servera,
- aktualizovať zraniteľné inštancie aspoň na verziu 5.6.3,
- preveriť servery na známky možnej kompromitácie,
- sledovať prípadné nové indikátory kompromitácie a mitigácie od CISA, ONLYOFFICE alebo bezpečnostných tímov.
Podrobnosti o útokoch zatiaľ chýbajú
CISA ani ďalšie overené zdroje zatiaľ nezverejnili technické podrobnosti aktuálneho zneužívania. Nie je známa identita útočníkov, počet obetí, rozsah kompromitácií ani to, či útoky cielia na konkrétne verejné inštancie alebo sú súčasťou širšej kampane.
Očakávať možno prípadné vyjadrenie ONLYOFFICE k evidovanému zneužívaniu, ako aj zverejnenie ďalších technických informácií alebo indikátorov kompromitácie.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2021-3199 do KEV 8. októbra 2026, evidované zneužívanie a termín nápravy.
- ONLYOFFICE DocumentServer CHANGELOG – Zdroj výrobcu k verzii 5.6.3, ktorá opravuje dotknutú chybu.
- NIST National Vulnerability Database – Potvrdzuje popis chyby, podmienku použitia JWT, možnosť vzdialeného spustenia kódu a dotknuté verzie pred 5.6.3.
- HKCERT Security Bulletin – Nezávisle potvrdzuje aktuálne upozornenie na zneužívanie a odporúčanie aktualizovať na 5.6.3 alebo novšiu verziu.
Overené a aktualizované: 09. 10. 2026 06:24
