Уязвимост в LibreOffice, която позволява изпълнение на код при отваряне на злонамерени документи

В офис пакета LibreOffice идентифицирани уязвимост (CVE-2019 9848-), който може да се използва за изпълнение на произволен код при отваряне на документи, подготвени от нападател.

Уязвимостта се дължи на факта, че компонентът LibreLogo, предназначен за обучение по програмиране и вмъкване на векторни чертежи, превежда своите операции в код на Python. С възможността да изпълнява инструкции на LibreLogo, атакуващият може да накара всеки код на Python да се изпълни в контекста на текущата потребителска сесия, като използва командата "run", предоставена в LibreLogo. От Python, използвайки функцията system(), можете на свой ред да извиквате произволни системни команди.

LibreLogo е незадължителен компонент, но LibreOffice предлага макроси по подразбиране, които ви позволяват да извиквате LibreLogo и не изискват потвърждение на операцията и не показват предупреждение, дори когато е активиран режимът на максимална макро защита (избиране на ниво „Много високо“ ).
За да атакувате, можете да свържете такъв макрос към манипулатор на събития, който се задейства, например, когато курсорът на мишката се задържи над определена област или когато фокусът на въвеждане е активиран върху документа (събитието onFocus). В резултат на това при отваряне на документ, подготвен от нападател, е възможно да се постигне скрито изпълнение на код на Python, без знанието на потребителя. Например, в демонстрирания пример за експлоатация, при отваряне на документ системният калкулатор се стартира без предупреждение.

Уязвимостта беше тихо коригирана в актуализацията на LibreOffice 6.2.5, пусната на 1 юли, но както се оказа, проблемът не беше напълно отстранен (само извикването на LibreLogo от макроси беше блокирано) и остават некоригирани някои други вектори на атака. Освен това проблемът не е решен във версия 6.1.6, която се препоръчва за корпоративни потребители. Планира се уязвимостта да бъде напълно коригирана в изданието на LibreOffice 6.3, което се очаква следващата седмица. Докато бъде пусната пълна актуализация, потребителите се съветват изрично да деактивират компонента LibreLogo, който е наличен по подразбиране в много дистрибуции. Уязвимостта е частично коригирана Debian, Fedora, SUSE/openSUSE и Ubuntu.

Източник: opennet.ru