CVE Pulse
EN
CVE 데이터베이스CVE-2021-3199
English Advisory →
CVE-2021-31999.8/CRITICALCISA KEV 등재CWE-22CWE-22

ONLYOFFICE Document Server 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2021-3199)

영향받는 벤더 / 생태계
ONLYOFFICE
대상 컴포넌트 / 패키지
Document Server
권고문 발행일
2021-01-26

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT
영향 대상

ONLYOFFICE Document Server 5.6.3 미만 버전 (JWT 사용 환경)

파급 효과

공격자가 임의의 경로에 파일을 업로드하여 서버 권한으로 원격 코드 실행(RCE) 가능

권장 조치

ONLYOFFICE Document Server를 최신 버전(5.6.3 이상)으로 즉시 업데이트

영향받는 제품 및 버전 범위

ONLYOFFICE Document Server 5.6.3 이전의 모든 버전이 영향을 받습니다. 특히 JWT 인증을 통해 문서 편집 세션을 관리하는 구성에서 위험도가 극대화됩니다.

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

최선의 조치는 공식 패치가 적용된 5.6.3 이상의 버전으로 업데이트하는 것입니다.

1. 버전 업데이트 (Docker 기준)

bash
docker-compose pull
docker-compose up -d

2. WAF(웹 방화벽) 설정

업로드 요청의 파라미터 내에 ../ 또는 ..\ 문자열이 포함된 경우 차단하도록 규칙을 설정하십시오.

3. 디렉토리 권한 강화

업로드된 파일이 저장되는 디렉토리에 대해 실행(Execute) 권한을 제거하여 스크립트 실행을 방지하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)
Cloudflare Enterprise & Pro WAF
현재 운영 중인 ONLYOFFICE Document Server의 버전을 확인하고, 5.6.3 미만인 경우 즉시 최신 안정화 버전으로 업그레이드할 것을 강력히 권고합니다.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트
무료 WAF 보안 진단 및 룰셋 적용하기
이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요
실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2021-3199)은 ONLYOFFICE Document Server의 /upload 엔드포인트에서 발생하는 경로 탐색(Directory Traversal, CWE-22) 취약점입니다. JWT(JSON Web Token) 인증이 활성화된 상태에서 이미지 업로드 파라미터에 대한 검증이 미흡하여 발생합니다. 공격자는 파일 이름에 ../와 같은 상위 디렉토리 참조 시퀀스를 삽입함으로써, 의도된 업로드 경로를 벗어나 웹 서버의 실행 권한이 있는 디렉토리에 악성 스크립트(Webshell 등)를 저장할 수 있습니다. CISA KEV(Known Exploited Vulnerabilities)에 등재된 만큼 실제 공격에 활발히 악용되고 있으며, EPSS 점수가 0.94로 매우 높아 즉각적인 대응이 필요합니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

Directory traversal with remote code execution can occur in /upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a /.. sequence in an image upload parameter.

https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
Source: cve@mitre.org · Release Notes, Third Party Advisory
https://github.com/moehw/poc_exploits/tree/master/CVE-2021-3199/poc_uploadImageFile.py
Source: cve@mitre.org · Exploit, Third Party Advisory
https://github.com/nola-milkin/poc_exploits/blob/master/CVE-2021-3199/poc_uploadImageFile.py
Source: cve@mitre.org · Exploit, Third Party Advisory
https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
Source: af854a3a-2127-422b-91ae-364da2661108 · Release Notes, Third Party Advisory
https://github.com/moehw/poc_exploits/tree/master/CVE-2021-3199/poc_uploadImageFile.py
Source: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory
https://github.com/nola-milkin/poc_exploits/blob/master/CVE-2021-3199/poc_uploadImageFile.py
Source: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory
SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: