Уязвимости в LibreOffice и Apache OpenOffice, които позволяват заобикаляне на проверката на цифровия подпис

Бяха разкрити три уязвимости в офис пакетите LibreOffice и Apache OpenOffice, които биха могли да позволят на нападателите да подготвят документи, които изглеждат подписани от надежден източник или да променят датата на вече подписан документ. Проблемите бяха отстранени в изданията на Apache OpenOffice 4.1.11 и LibreOffice 7.0.6/7.1.2 под прикритието на бъгове, които не са свързани със сигурността (LibreOffice 7.0.6 и 7.1.2 бяха публикувани в началото на май, но уязвимостта беше само сега разкрит).

• CVE-2021-41832, CVE-2021-25635 - позволява на атакуващ да подпише ODF документ с ненадежден самоподписан сертификат, но чрез промяна на алгоритъма за цифров подпис на неправилна или неподдържана стойност, постига показването на този документ като надежден (подпис с неправилен алгоритъм се третира като правилен).
• CVE-2021-41830, CVE-2021-25633 - позволява на атакуващ да създаде ODF документ или макрос, който ще се показва в интерфейса като надежден, въпреки наличието на допълнително съдържание, сертифицирано от друг сертификат.
• CVE-2021-41831, CVE-2021-25634 - позволява да се правят промени в цифрово подписан ODF документ, който изкривява времето за генериране на цифров подпис, показвано на потребителя, без да се нарушава индикацията за доверие.

Източник: opennet.ru