{"id":6105,"date":"2026-10-09T08:40:36","date_gmt":"2026-10-09T13:40:36","guid":{"rendered":"https:\/\/cert.pa\/?p=6105"},"modified":"2026-10-12T13:31:48","modified_gmt":"2026-10-12T18:31:48","slug":"csirt-panama-aviso-2026-oct-9-vulnerabilidad-critica-en-onlyoffice-docs-explotada-activamente-que-permite-escritura-de-archivos-y-ejecucion-remota-de-codigo-cve-2021-3199","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6105","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-9: Vulnerabilidad Cr\u00edtica en ONLYOFFICE Docs explotada activamente que permite escritura de archivos y ejecuci\u00f3n remota de c\u00f3digo \u2014 CVE-2021-3199"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 9 de octubre de 2026
CVE ID:<\/strong> CVE-2021-3199
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 9.8
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-22: Recorrido de directorios (path traversal)
Producto afectado:<\/strong> ONLYOFFICE Docs (Document Server) 5.1.5 a 5.6.2
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha l\u00edmite CISA: 11 de octubre de 2026). Explotada por actores vinculados al gobierno de China seg\u00fan el aviso conjunto AA26-281A
Fuente:<\/strong> NVD \/ CISA (KEV y aviso conjunto AA26-281A) \/ ONLYOFFICE
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de recorrido de directorios (path traversal) en ONLYOFFICE Docs (anteriormente ONLYOFFICE Document Server), registrada como CVE-2021-3199 y calificada con 9.8 de 10 en la escala CVSS 3.1. Cuando el servidor utiliza JWT (JSON Web Token), un atacante remoto puede incluir la secuencia \/..<\/code> en un par\u00e1metro de carga de im\u00e1genes del endpoint \/upload<\/code> y escribir archivos en ubicaciones arbitrarias del servidor, lo que puede derivar en la ejecuci\u00f3n remota de c\u00f3digo, por ejemplo mediante la colocaci\u00f3n de un webshell. Existen pruebas de concepto p\u00fablicas desde 2021.<\/p>\n\n\n\n

El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente. Ese mismo d\u00eda, CISA, el FBI, la NSA y socios internacionales publicaron el aviso conjunto AA26-281A, que la incluye entre las vulnerabilidades explotadas con \u00e9xito por actores vinculados al gobierno de China y apoyados por la empresa Integrity Technology Group, cuyas t\u00e1cticas coinciden con las de los grupos conocidos como Flax Typhoon, Ethereal Panda y Red Juliett. Seg\u00fan el aviso, estos actores buscan acceso prolongado a redes de sectores de infraestructura cr\u00edtica en distintas regiones, atacando principalmente equipos y servicios expuestos a Internet que suelen estar poco monitoreados.<\/p>\n\n\n\n

El modelo EPSS estima en 8 % la probabilidad de que sea explotada en los pr\u00f3ximos 30 d\u00edas, lo que la ubica por encima del 94 % del resto de vulnerabilidades evaluadas.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abDirectory traversal with remote code execution can occur in \/upload in ONLYOFFICE Document Server before 5.6.3, when JWT is used, via a \/.. sequence in an image upload parameter.\u00bb<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
ONLYOFFICE Docs \/ Document Server (Community, Enterprise y Developer)<\/td>5.1.5 a 5.6.2<\/td>5.6.3 o posterior (se recomienda la versi\u00f3n estable m\u00e1s reciente, 9.4.0 a la fecha de emisi\u00f3n)<\/td><\/tr>
Plataformas que despliegan su propio ONLYOFFICE Docs (p. ej., ONLYOFFICE Workspace o integraciones con Nextcloud, ownCloud u otras)<\/td>Seg\u00fan la versi\u00f3n del Document Server instalado<\/td>Actualizar el componente Document Server a 5.6.3 o posterior<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Nota: la rama 5.x est\u00e1 fuera de soporte. Se recomienda actualizar a la rama vigente publicada por ONLYOFFICE.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar ONLYOFFICE Docs a la versi\u00f3n 5.6.3 o posterior, que corrige el fallo (correcci\u00f3n \u00abFix Path Traversal vulnerability via image upload params\u00bb, bug #46113). Preferiblemente, actualizar a la versi\u00f3n estable m\u00e1s reciente.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Evitar que el servidor de documentos sea accesible directamente desde Internet: permitir conexiones \u00fanicamente desde la plataforma integrada o el proxy inverso autorizado. Si se dispone de WAF o proxy inverso, bloquear peticiones al endpoint \/upload<\/code> cuyos par\u00e1metros contengan secuencias de recorrido de directorios (..\/<\/code>, \/..<\/code>, %2e%2e<\/code>, %2f<\/code>).<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. El aviso AA26-281A indica actividad desde al menos enero de 2021, por lo que la revisi\u00f3n debe abarcar un periodo amplio. Se recomienda:<\/p>\n\n\n\n