Разкрити са данни за три уязвимости в офисните пакети LibreOffice и Apache OpenOffice, които позволяват на атакуващите да подготвят документи, изглеждащи като подписани от надежден източник, или да променят датата на вече подписан документ. Проблемите бяха отстранени в изданията на Apache OpenOffice 4.1.11 и LibreOffice 7.0.6/7.1.2 под формата на несвързани с безопасността грешки (изданията на LibreOffice 7.0.6 и 7.1.2 бяха публикувани в началото на май, но данните за уязвимостта бяха разкрити само сега).
- CVE-2021-41832, CVE-2021-25635 — позволява на атакуващия да подпише ODF-документ с ненадежден самоподписан сертификат, но чрез промяна на алгоритъма на цифровата подписка на неправилен или неподдържан вариант, да постигне показването на този документ като надежден (подпис с неправилен алгоритъм се обработваше като валиден).
- CVE-2021-41830, CVE-2021-25633 — позволява на атакуващия чрез комбиниране в файловете documentsignatures.xml и macrosignatures.xml на данни, подписани с различни сертификати, да създаде ODF-документ или макрос, който ще се показва в интерфейса като надежден, въпреки наличието на допълнително съдържание, заверено с друг сертификат.
- CVE-2021-41831, CVE-2021-25634 — позволява да се направят промени в подписания с цифрова подпис ODF-документ, изкривяващи показваното на потребителя време на генериране на цифровата подпис, без да се нарушава индикацията за доверие.
Източник: opennet.ru
