Уязвимост в LibreOffice, която позволява извършване на код при отваряне на злонамерени документи

В офисния пакет LibreOffice е открита уязвимост (CVE-2019-9848), който може да се използва за изпълнение на произволен код при отваряне на документи, подготвени от злонамерени лица.

Уязвимостта е причинена от факта, че компонентът LibreLogo, предназначен за обучение по програмиране и вмъкване на векторни рисунки, трансформира своите операции в код на Python. Има възможност да изпълнява инструкции на LibreLogo, злонамерен потребител може да постигне изпълнението на произволен Python код в контекста на текущата сесия на потребителя, като използва предоставената команда «run» в LibreLogo. От Python, чрез функцията system(), от своя страна, могат да се извикат произволни системни команди.

LibreLogo е опционален компонент, но в LibreOffice по подразбиране се предлагат макроси, които дават възможност за извикване на LibreLogo и не изискват потвърждение за изпълнението им, нито показват предупреждение, дори когато е активиран режимът на максимална защита на макросите (избор на ниво «Very High»).
За атака може да се свърже такъв макрос с обработчик на събитие, който се задейства, например, при преминаване на курсора на мишката над определена област или при активиране на фокуса на въвеждане в документа (събитие onFocus). В резултат, при отваряне на подготвения от нападателя документ, може да се постигне скрито изпълнение на Python код, незабелязано от потребителя. Например, в демонстрирания пример на експлойт, при отваряне на документа, без предупреждение, се стартира системният калкулатор.

Уязвимостта бе отстранена без излишна публичност в актуализацията на LibreOffice 6.2.5, издадена на 1 юли, но както се оказа, проблемът не беше напълно решен (само извикването на LibreLogo от макроси беше блокирано) и остават непоправени някои други вектори за провеждане на атака. Освен това, проблемът не е решен в версия 6.1.6, която е препоръчвана за корпоративни потребители. Планирано е напълно отстраняване на уязвимостта в версия 6.3 на LibreOffice, очаквана следващата седмица. До пускането на пълното обновление, на потребителите се препоръчва изрично да деактивират компонента LibreLogo, който по подразбиране е наличен в много дистрибуции. Частично уязвимостта е отстранена в Debian, Fedora, SUSE/openSUSE и Ubuntu.

Източник: opennet.ru