CERT/CC hat am 8. September 2026 die Warnung VU#943094 zu einer Server-Side Request Forgery (SSRF)-Schwachstelle im Integrationsplugin ONLYOFFICE für ownCloud in Version 9.12 veröffentlicht, das von Ascensio System SIA entwickelt wird. Die Schwachstelle, erfasst als CVE-2026-84282, ermöglicht es einem authentifizierten Administrator, den ownCloud-Server dazu zu bringen, beliebige ausgehende Netzwerkanfragen an von einem Angreifer kontrollierte Adressen zu senden, einschließlich interner Ressourcen und localhost. Zum Zeitpunkt der Veröffentlichung existiert kein offizieller Patch – CERT/CC berichtet, dass der Hersteller nicht kontaktiert werden konnte. Organisationen, die dieses Plugin einsetzen, wird empfohlen, es umgehend zu deaktivieren oder zu entfernen.
Technische Details der Schwachstelle
Das ONLYOFFICE-Plugin für ownCloud stellt eine Funktion zum Bearbeiten von Dokumenten direkt in der Cloud-Speicherumgebung bereit. Beim Konfigurieren der Verbindung zum ONLYOFFICE-Dokumentenserver nimmt das Plugin eine URL über den Endpunkt /apps/onlyoffice/ajax/settings/address entgegen und baut vom ownCloud-Server aus eine Verbindung zur angegebenen Adresse auf.
Nach Angaben von CERT/CC beschränkt oder bereinigt die Anwendung diesen Parameter nicht. Ein authentifizierter Administrator kann beliebige URLs angeben, einschließlich Adressen im internen Netzwerk oder localhost (127.0.0.1), die von außen nicht erreichbar sind. Die ausgehenden Anfragen werden im Namen des ownCloud-Servers ausgeführt, was ein klassisches Beispiel für SSRF darstellt.
Zusätzliche Gefahr geht von einem Seitenkanal aus, der auf Unterschieden in den Serverantworten basiert. Wie CERT/CC beschreibt, ermöglicht der Unterschied zwischen Verbindungsfehlern und SSL/TLS-Aushandlungsfehlern einem Angreifer, den Zustand von TCP-Ports zu bestimmen – ob sie offen oder geschlossen sind. Dadurch wird eine Aufklärung des internen Netzwerks und eine Port-Aufzählung möglich, wobei der ownCloud-Server als Proxy genutzt wird.
Wichtig ist: Für die Ausnutzung ist ein authentifizierter Zugang mit Administratorrechten zur ownCloud-Administrationsoberfläche erforderlich. Das schränkt den Kreis potenzieller Angreifer deutlich ein, beseitigt das Risiko jedoch nicht – ein kompromittiertes Administratorkonto oder ein Insider mit entsprechenden Rechten kann die Schwachstelle ausnutzen.
Bewertung der Auswirkungen
Laut CERT/CC ermöglicht eine erfolgreiche Ausnutzung:
- Beliebige ausgehende Netzwerkanfragen im Namen des ownCloud-Servers zu initiieren
- Auf Dienste auf localhost zuzugreifen, die von außen nicht erreichbar sind
- Über Seitenkanäle in den Antworten eine Aufklärung des internen Netzwerks und Portscans durchzuführen
- Die ownCloud-Infrastruktur als Proxy zu nutzen, um schädliche Inhalte an Zielsysteme zu senden
- Die Angriffsfläche für eine anschließende Ausnutzung interner Dienste zu vergrößern
Am stärksten gefährdet sind Organisationen, die ownCloud mit dem ONLYOFFICE-Plugin in Unternehmensnetzen betreiben, in denen der ownCloud-Server Zugriff auf interne Ressourcen hat – Datenbanken, APIs interner Dienste oder Systeme zum Infrastrukturmanagement. In solchen Umgebungen kann eine SSRF-Schwachstelle zum Einstiegspunkt für laterale Bewegung werden.
Zum Zeitpunkt der Veröffentlichung liegen CERT/CC keine Informationen über eine aktive Ausnutzung dieser Schwachstelle vor, öffentlich verfügbarer Exploit-Code wurde ebenfalls nicht gefunden. Eine CVSS-Bewertung wurde nicht vergeben.
Praktische Empfehlungen
CERT/CC weist darauf hin, dass ein offizieller Patch fehlt und vom Hersteller keine Rückmeldung eingegangen ist. Unter diesen Umständen werden folgende Maßnahmen empfohlen:
- ONLYOFFICE-Plugin in ownCloud deaktivieren oder entfernen, bis eine korrigierte Version verfügbar ist. Dies ist der zuverlässigste Weg, die Schwachstelle zu beseitigen.
- Ausgehende Verbindungen des ownCloud-Servers auf Netzwerkebene einschränken. Firewall-Regeln sollten ausgehenden Traffic nur zu ausdrücklich autorisierten Adressen zulassen und Zugriffe auf interne Subnetze und localhost blockieren.
- Monitoring einrichten für administrative Anfragen an den Endpunkt
/apps/onlyoffice/ajax/settings/address. Die Korrelation solcher Anfragen mit nachfolgenden ausgehenden Verbindungen des ownCloud-Servers zu Adressen aus Loopback-Bereichen (127.0.0.0/8), privaten Netzen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) oder anderen untypischen Zielen kann auf einen Exploit-Versuch hindeuten. - Audit der Administratorkonten von ownCloud durchführen: sicherstellen, dass keine überflüssigen Privilegien bestehen, und Multi-Faktor-Authentifizierung für den administrativen Zugriff aktivieren.
Die Schwachstelle ist von CERT/CC für Version 9.12 des Plugins bestätigt. Ob andere Versionen betroffen sind, geht aus der veröffentlichten Warnung nicht hervor, daher sollten ohne zusätzliche Informationen keine Rückschlüsse auf andere Versionen gezogen werden.
Organisationen, die das ONLYOFFICE-Plugin für ownCloud in Version 9.12 einsetzen, sollten es umgehend deaktivieren und auf Netzwerkebene Beschränkungen für ausgehenden Traffic umsetzen. Das Ausbleiben einer Antwort des Herstellers macht den Zeitrahmen für einen Patch ungewiss, weshalb man nicht auf eine zeitnahe Korrektur vertrauen sollte – Schutzmaßnahmen müssen eigenständig umgesetzt werden.
