🥇Уязвимост в LibreOffice, позволяваща изпълнение на код при отваряне на злонамерени документи

В офисния пакет LibreOffice открита е уязвимост (CVE-2019-9848), която може да се използва за изпълнение на произволен код при отваряне на документи, подготвени от злонамерен потребител.

Уязвимостта е причинена от факта, че компонентът LibreLogo, предназначен за обучение по програмиране и вмъкване на векторни рисунки, трансформира своите операции в код на Python. Имам възможност да изпълнявам инструкции на LibreLogo, злонамерен потребител може да достигне до изпълнение на произволен код на Python в контекста на текущата сесия на потребителя, използвайки предоставената в LibreLogo команда „run“. Чрез Python с функцията system() може да се извикат произволни системни команди.

LibreLogo е опционален компонент, но в LibreOffice по подразбиране се предлагат макроси, които дават възможност за извикване на LibreLogo и не изискват потвърждение за изпълнение на операцията, нито показват предупреждение, дори когато е активиран режимът на максимална защита на макросите (избор на ниво „Много високо“).
За атака може да бъде прикрепен такъв макрос към обработчик на събития, който се задейства, например, при преминаване на курсора на мишката в определена област или при активиране на фокуса върху документа (събитието onFocus). В резултат, при отваряне на подготвения от атакуващия документ, може да бъде постигнато скрито изпълнение на Python код, незабелязано от потребителя. Например, в демонстрирания пример на експлойт при отваряне на документа без предупреждение се стартира системният калкулатор.

Уязвимост в LibreOffice, позволяваща изпълнение на код при отваряне на злонамерени документи

Уязвимостта беше отстранена без излишна известност в актуализацията на LibreOffice 6.2.5, издадена на 1 юли, но както се оказа, проблемът не беше напълно разрешен (беше блокиран само повикването на LibreLogo от макросите) и остават неотстранени някои други вектори за провеждане на атака. Освен това, проблемът не е решен в версия 6.1.6, препоръчвана за корпоративни потребители. Планирано е напълно отстраняване на уязвимостта в версия LibreOffice 6.3, очаквана през следващата седмица. До пускането на пълно обновление на потребителите се препоръчва изрично да деактивират компонента LibreLogo, който по подразбиране е наличен в много пакети. Частично уязвимостта е отстранена в Debian, Fedora, SUSE/openSUSE и Ubuntu.

Източник: opennet.ru