Der er afsløret oplysninger om tre sårbarheder i kontorpakkerne LibreOffice og Apache OpenOffice, der giver angribere mulighed for at forberede dokumenter, der ser ud til at være underskrevet af en betroet kilde, eller ændre datoen for et allerede underskrevet dokument. Problemerne blev løst i udgaverne Apache OpenOffice 4.1.11 og LibreOffice 7.0.6/7.1.2 under påskud af ikke-sikkerhedsrelaterede fejl (udgaverne LibreOffice 7.0.6 og 7.1.2 blev offentliggjort i begyndelsen af maj, men oplysninger om sårbarheden er først nu blevet offentliggjort).
- CVE-2021-41832, CVE-2021-25635 - giver en angriber mulighed for at underskrive et ODF-dokument med et ikke-betroet selvsigneret certifikat, men ved at ændre den digitale underskrifts algoritme til en ukorrekt eller ikke-understøttet værdi, kan dokumentet vises som betroet (underskriften med den forkerte algoritme blev behandlet som korrekt).
- CVE-2021-41830, CVE-2021-25633 - giver en angriber mulighed for at kombinere data, der er underskrevet med forskellige certifikater i filerne documentsignatures.xml og macrosignatures.xml, til at oprette et ODF-dokument eller en makro, der vil blive vist i brugergrænsefladen som betroet, på trods af tilstedeværelsen af yderligere indhold godkendt af et andet certifikat.
- CVE-2021-41831, CVE-2021-25634 - tillader ændringer i et underskrevet ODF-dokument med digital underskrift, der forvrænger det viste tidspunkt for oprettelse af den digitale underskrift uden at påvirke tillidsindikatoren.
Kilde: opennet.ru
