En bref

  • CVE-2021-3199 (CVSS 9.8) : path traversal menant à exécution de code arbitraire dans ONLYOFFICE Document Server, exploitable via une séquence /../ dans le paramètre d'upload d'image lorsque JWT est activé
  • Systèmes affectés : ONLYOFFICE Document Server versions antérieures à 5.6.3 avec JWT activé
  • Action urgente : mettre à jour vers ONLYOFFICE Document Server 5.6.3 ou supérieur — le groupe APT chinois Flax Typhoon exploite activement cette faille pour déployer des implants persistants

Les faits

La CISA américaine a ajouté CVE-2021-3199 à son catalogue des vulnérabilités exploitées connues (KEV) le 8 octobre 2026, avec une date limite de remédiation au 11 octobre 2026 pour les agences fédérales civiles américaines. Cette vulnérabilité, identifiée dans ONLYOFFICE Document Server, obtient un score CVSS de 9.8 et permet à un attaquant authentifié d'exécuter du code arbitraire sur le serveur via une technique de path traversal dans la fonctionnalité d'upload d'image. Son exploitation active est attribuée au groupe APT chinois Flax Typhoon (Integrity Technology Group), dans le cadre d'une campagne d'espionnage documentée par un advisory conjoint de sept nations le 8 octobre 2026.

La faille réside dans le mécanisme de traitement des téléversements d'images dans ONLYOFFICE Document Server lorsque l'authentification JWT (JSON Web Token) est activée. La valeur du paramètre d'upload ne fait pas l'objet d'une validation suffisante des séquences de traversée de répertoire (directory traversal). Un attaquant peut inclure une séquence /../ dans le chemin d'upload pour écrire des fichiers en dehors du répertoire autorisé, dans n'importe quel répertoire accessible par le processus serveur d'ONLYOFFICE. En ciblant des répertoires d'exécution ou des chemins web accessibles, l'attaquant peut déposer un web shell ou d'autres charges malveillantes qui seront ensuite exécutées par le serveur.

La caractéristique notable de cette vulnérabilité est sa dépendance à l'activation de JWT : CVE-2021-3199 n'est exploitable que lorsque l'authentification JWT est activée dans la configuration d'ONLYOFFICE. JWT est recommandé par ONLYOFFICE comme mécanisme de sécurité pour les communications entre le serveur documentaire et les applications intégrées — sa présence indique donc paradoxalement une installation mieux sécurisée sur le papier, mais exposée à cette vulnérabilité spécifique. Les déploiements ONLYOFFICE sans JWT, bien que moins sécurisés globalement, ne sont pas affectés par ce vecteur d'exploitation particulier.

ONLYOFFICE Document Server est une suite bureautique open source compatible avec les formats Microsoft Office (DOCX, XLSX, PPTX) utilisée par de nombreuses organisations comme alternative auto-hébergée à Microsoft 365 ou Google Workspace. Elle est intégrée à des plateformes collaboratives populaires comme Nextcloud, ownCloud, Seafile et Confluence, ce qui signifie que les déploiements vulnérables peuvent être présents dans des infrastructures d'entreprise ou d'administration sans que l'équipe sécurité n'ait identifié ONLYOFFICE comme un composant exposé de leur surface d'attaque.

La version corrigée est ONLYOFFICE Document Server 5.6.3, publiée en 2021. Le correctif ajoute une validation des chemins de fichiers pour rejeter toute séquence de traversée de répertoire dans les paramètres d'upload. Comme pour CVE-2015-3306 (ProFTPD), la disponibilité du correctif depuis 2021 n'a pas suffi à protéger l'ensemble des déploiements : Flax Typhoon cible précisément les instances non mises à jour, trop souvent présentes dans des environnements où ONLYOFFICE est perçu comme un service secondaire peu critique.

Le groupe Flax Typhoon, également connu sous le nom Integrity Technology Group, est un acteur APT attribué à l'État chinois par les gouvernements américain, britannique, canadien, australien, néo-zélandais, allemand, japonais et néerlandais dans l'advisory conjoint du 8 octobre 2026. La campagne documentée combine l'exploitation de CVE-2021-3199 avec quatre autres vulnérabilités historiques ajoutées simultanément au CISA KEV (CVE-2015-3306 dans ProFTPD, CVE-2015-5477 dans ISC BIND, CVE-2021-3109 dans Strapi, CVE-2021-44228 dans Apache Log4j), illustrant la stratégie du groupe de cibler des logiciels legacy négligés dans les environnements de ses cibles.

L'exploitation de CVE-2021-3199 dans la campagne Flax Typhoon vise en priorité à déposer des web shells Python ou PHP sur les serveurs ONLYOFFICE, établissant un accès persistant et furtif. Une fois l'accès initial obtenu, le groupe procède à une reconnaissance du réseau interne, à la collecte de credentials dans les fichiers de configuration d'ONLYOFFICE (connexions aux bases de données, tokens d'API des applications intégrées comme Nextcloud), et au mouvement latéral vers d'autres composants de l'infrastructure. L'objectif final est l'exfiltration de données sensibles dans le cadre d'opérations d'espionnage à long terme ciblant les secteurs gouvernemental, télécom et défense.

ONLYOFFICE étant souvent déployé en intégration avec d'autres services (Nextcloud, portails intranet, outils collaboratifs d'entreprise), la compromission du serveur ONLYOFFICE peut ouvrir des vecteurs d'accès à ces services connexes, amplifiant l'impact au-delà du seul composant documentaire. Les tokens JWT d'intégration, s'ils sont compromis, permettent potentiellement de se faire passer pour le serveur ONLYOFFICE auprès des applications intégrées.

Impact et exposition

ONLYOFFICE Document Server est largement déployé dans des organisations privilégiant les solutions open source auto-hébergées : collectivités territoriales, établissements d'enseignement, entreprises du secteur de la santé, ONG, et petites et moyennes entreprises cherchant une alternative aux suites Microsoft ou Google. Ces organisations disposent souvent de ressources limitées pour la surveillance et la mise à jour de leurs infrastructures, augmentant la probabilité de déploiements non corrigés.

L'intégration fréquente d'ONLYOFFICE avec Nextcloud amplifie le risque : des millions d'instances Nextcloud auto-hébergées dans le monde intègrent ONLYOFFICE pour l'édition documentaire. Si l'instance ONLYOFFICE intégrée est vulnérable, elle représente un vecteur d'entrée vers l'ensemble du contenu stocké dans Nextcloud et des credentials des utilisateurs de la plateforme.

Les organisations ciblées par Flax Typhoon sont principalement des administrations gouvernementales, des opérateurs de télécommunications, des entreprises de défense et des institutions de recherche. Cependant, la nature opportuniste de l'exploitation initiale (scan de masse des instances vulnérables accessibles sur Internet) signifie que toute organisation utilisant une version antérieure à ONLYOFFICE 5.6.3 avec JWT activé est exposée, indépendamment du secteur.

La date limite du 11 octobre 2026 pour les agences fédérales américaines est expirée. Les organisations hors secteur gouvernemental américain qui n'ont pas encore appliqué le correctif doivent le considérer comme une priorité immédiate compte tenu de l'exploitation active confirmée.

Recommandations immédiates

  • Mettre à jour ONLYOFFICE Document Server vers la version 5.6.3 ou supérieure — changelog et releases : ONLYOFFICE Security Advisory 2021-001
  • Inventorier toutes les instances ONLYOFFICE Document Server déployées dans l'organisation (recherche de processus documentserver ou ports 8083, 8000 par défaut)
  • Inspecter les répertoires d'upload ONLYOFFICE (/var/lib/onlyoffice/documentserver/App_Data/cache/) pour détecter des fichiers web shells déposés
  • Vérifier les journaux d'accès HTTP pour des requêtes POST suspectes vers l'endpoint /upload avec des chemins contenant /../
  • Auditer les tokens JWT d'intégration configurés dans les applications connectées à ONLYOFFICE (Nextcloud, ownCloud, etc.) et les renouveler par précaution
  • Restreindre l'accès à l'instance ONLYOFFICE Document Server aux adresses IP des applications l'utilisant via un pare-feu applicatif ou des règles de firewall

⚠️ Urgence — APT étatique actif

CVE-2021-3199 est exploité par Flax Typhoon (APT chinois) dans le cadre d'opérations d'espionnage documentées par un advisory conjoint de sept nations. La date limite fédérale américaine du 11 octobre 2026 est expirée. Toute instance ONLYOFFICE Document Server antérieure à 5.6.3 avec JWT activé et exposée depuis Internet doit être considérée comme potentiellement compromise et doit faire l'objet d'une mise à jour immédiate et d'une inspection forensique.

Comment vérifier si mon ONLYOFFICE est vulnérable ?

Accédez à votre instance ONLYOFFICE et vérifiez la version dans les paramètres d'administration (Section Information système). Toute version inférieure à 5.6.3 est vulnérable si JWT est activé. Pour vérifier l'activation de JWT, inspectez le fichier de configuration local.json d'ONLYOFFICE (généralement dans /etc/onlyoffice/documentserver/) et recherchez la présence de la clé services.CoAuthoring.token.enable. Si elle vaut true, votre instance est exposée à CVE-2021-3199 sur une version non corrigée.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit