ONLYOFFICE Document Server の画像アップロードでパストラバーサル（KEV・RCE）

Critical（CVSS 9.8）に分類されるONLYOFFICE（Ascensio System SIA） ONLYOFFICE Document Server（Docs）5.6.3 未満・JWT 使用時の脆弱性です。オンラインのオフィス文書編集サーバ ONLYOFFICE Document Server（現 ONLYOFFICE Docs）の `/upload` で、**JWT を使っている構成のとき、画像アップロードのパラメータに `/..` を含めると保存先のディレクトリを抜けられ、リモートでのコード実行につながる**欠陥。NVD の記述では対象は 5.6.3 より前。ONLYOFFICE の変更履歴の 5.6.3 には「画像アップロードのパラメータ経由のパストラバーサルを修正（Bug #46113）」とある。 **悪用が確認されている。** 公開は 2021年1月で、GitHub 上に概念実証コードが公開されている。CISA は 2026年10月8日に KEV へ収載し、**是正期限を 2026年10月11日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は NVD（Primary）と CISA-ADP がともに 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。旧 CVSS v2 では 7.5。

**ONLYOFFICE Document Server を 5.6.3 以上へ更新する。** 修正は 5.6.3 の変更履歴に記載されている。2021年の欠陥なので、現行の版を使っていれば修正済みで、対象になるのは更新を止めた古いサーバや、ONLYOFFICE を組み込んだ製品（Nextcloud / ownCloud などとの連携用に別途立てたサーバを含む）である。 **影響を受けるかの確認**は、Document Server の版（`/healthcheck` ではなく、管理画面やパッケージ・コンテナイメージのタグ）を見て 5.6.3 より前かどうか。公式の回避策は確認できない。更新まではインターネットから Document Server に直接届かないようにし、連携元のサーバからだけ到達できるように絞る（これは公式の緩和策ではなく一般的な到達経路の削減）。 **侵害の有無の確認。** 古い版を公開していた場合は、Document Server の保存ディレクトリ以外に不審なファイルが作られていないか、プロセスに不審な子プロセスが無いかを点検し、疑わしければサーバを作り直す。 **完了条件**は、全ての Document Server が 5.6.3 以上（実際には保守中の最新版）であること。

ONLYOFFICE（Ascensio System SIA） ONLYOFFICE Document Server（Docs）5.6.3 未満・JWT 使用時 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-3199）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/11 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。