'ONLYOFFICE Docs: Path Traversal เสี่ยง RCE — CVE-2021-3199'

พอดีไล่ฟีด CISA KEV วันที่ 8 ตุลาคม 2026 เจอรายการ ONLYOFFICE Docs หมายเลข CVE-2021-3199 ผมเปิดตามไปดู CVE และ changelog ผู้พัฒนาแล้ว ประเด็นคือ Path Traversal ในส่วนอัปโหลดภาพของ Document Server เมื่อใช้ JWT ซึ่งอาจนำไปสู่การรันโค้ดจากระยะไกลได้ ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว และ CISA ระบุกำหนดแก้ในรายการ KEV เป็นวันที่ 11 ตุลาคม 2026 (ข้อมูล KEV ของ CISA)

เกิดอะไรขึ้น

บันทึก CVE ระบุว่าปัญหาอยู่ที่ /upload พารามิเตอร์อัปโหลดภาพที่มี /.. อาจทำให้พาธออกนอกไดเรกทอรีที่กำหนดไว้ได้ ปัญหาแบบนี้เรียกว่า Path Traversal ผู้โจมตีอาจควบคุมตำแหน่งไฟล์เกินขอบเขตที่ระบบอนุญาต และอาจรันโค้ดจากระยะไกลหรือ RCE ได้

เงื่อนไขที่ CVE ระบุคือ เมื่อใช้ JWT ผู้ดูแลควรตรวจทั้งรุ่นของ Document Server และการตั้งค่าที่เกี่ยวข้องกับระบบเชื่อมต่อเอกสาร การมี JWT อยู่ในระบบไม่ได้ยืนยันว่าจุดอัปโหลดภาพของรุ่นเก่าปลอดจากช่องโหว่นี้ ข้อมูล CISA-ADP ในบันทึก CVE ให้คะแนน CVSS 3.1 ที่ 9.8 ระดับ Critical และระบุผลกระทบสูงต่อความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งาน (บันทึก CVE ทางการ)

ใครโดนและรุ่นที่แก้

ขอบเขตตาม CVE คือ ONLYOFFICE Document Server รุ่นก่อน 5.6.3 เมื่อใช้ JWT ส่วน changelog ของผู้พัฒนาระบุในรุ่น 5.6.3 ว่าแก้ Path Traversal ผ่านพารามิเตอร์อัปโหลดภาพแล้ว โดยอ้างอิง Bug #46113

แหล่งอ้างอิงนี้ให้ขอบเขตรุ่นของตัว Document Server ไม่ได้แจกแจงรุ่นแก้แยกตามระบบปฏิบัติการหรือแพ็กเกจแต่ละ edition เลข 5.6.3 ในตารางเป็นจุดที่ผู้พัฒนาแก้ช่องโหว่นี้ ไม่ใช่การระบุว่าเป็นรุ่นล่าสุดสำหรับติดตั้ง ควรใช้ข้อมูลรุ่นนี้ตรวจสถานะ แล้ววางแผนอัปเกรดตามคู่มือของรูปแบบที่ใช้งาน (ONLYOFFICE DocumentServer changelog รุ่น 5.6.3)

ต้องทำอะไร

เริ่มจากตรวจเวอร์ชันของ Document Server ที่ให้บริการจริง รวมถึงแต่ละ instance ที่แอปพลิเคชันเชื่อมต่ออยู่ หากยังเป็นรุ่นก่อน 5.6.3 และใช้ JWT ให้จัดเป็นงานแก้เร่งด่วน พร้อมตรวจว่าบริการเปิดให้เข้าถึงจากอินเทอร์เน็ตหรือไม่ ตามแนวทาง CISA

ก่อนอัปเดตควรสำรองข้อมูลและค่าตั้ง เก็บข้อมูลรุ่นเดิม แล้วดำเนินการตามคู่มืออัปเกรดของผู้พัฒนาที่ตรงกับวิธีติดตั้ง หลังอัปเดตให้ตรวจรุ่นที่รันจริงอีกครั้ง และทดสอบเปิด บันทึก และแทรกภาพในเอกสารด้วยไฟล์ทดสอบทั่วไป เพื่อยืนยันว่าการเชื่อมต่อยังทำงานได้ ไม่ควรจบงานที่ขั้นดาวน์โหลดแพ็กเกจโดยยังไม่ได้ตรวจบริการ

รายการ KEV แนะนำให้ใช้มาตรการตามผู้พัฒนา และให้ยุติการใช้ผลิตภัณฑ์หากไม่มีมาตรการลดความเสี่ยงที่ใช้ได้ อีกทั้งทำเครื่องหมายว่าต้องมี forensic triage สำหรับรายการนี้ ในทางปฏิบัติควรเก็บ log ที่เกี่ยวข้องและตรวจร่องรอยความผิดปกติควบคู่กับการแพตช์ เพราะการอัปเดตเพียงอย่างเดียวไม่ได้ยืนยันว่าระบบไม่เคยถูกโจมตี ส่วน changelog ที่อ้างถึงไม่ได้ให้ workaround สำหรับช่องโหว่นี้ไว้

ส่วนตัวผมให้เร่งแพตช์ทันทีเมื่อเข้าเงื่อนไขรุ่นและ JWT เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — ONLYOFFICE Docs Server Path Traversal Vulnerability และ CVE-2021-3199 หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ