Byly zveřejněny informace o třech zranitelnostech v kancelářských balících LibreOffice a Apache OpenOffice, které umožňují útočníkům připravit dokumenty, jež vypadají jako podepsané důvěryhodným zdrojem, nebo změnit datum již podepsaného dokumentu. Problémy byly odstraněny ve verzích Apache OpenOffice 4.1.11 a LibreOffice 7.0.6/7.1.2 pod záminkou chyb nesouvisejících se zabezpečením (verze LibreOffice 7.0.6 a 7.1.2 byly vydány začátkem května, ale informace o zranitelnosti byly zveřejněny až nyní).
- CVE-2021-41832, CVE-2021-25635 — umožňuje útočníkovi podepsat ODF dokument nedůvěryhodným vlastním certifikátem, ale tím, že změnou algoritmu digitálního podpisu na nesprávnou nebo nepodporovanou hodnotu dosáhne zobrazení tohoto dokumentu jako důvěryhodného (podpis s nesprávným algoritmem byl zpracován jako platný).
- CVE-2021-41830, CVE-2021-25633 — umožňuje útočníkovi prostřednictvím zkombinování v souborech documentsignatures.xml a macrosignatures.xml dat podepsaných různými certifikáty vytvořit ODF dokument nebo makro, které se v rozhraní bude zobrazovat jako důvěryhodné, navzdory přítomnosti dalšího obsahu ověřeného jiným certifikátem.
- CVE-2021-41831, CVE-2021-25634 — umožňuje provést změny v podepsaném ODF dokumentu s digitálním podpisem, které zkreslují zobrazený čas vytvoření digitálního podpisu, aniž by porušily indikaci důvěry.
Zdroj: opennet.ru
