Es wurden Informationen über drei Schwachstellen in den Büroanwendungen LibreOffice und Apache OpenOffice veröffentlicht, die es Angreifern ermöglichen, Dokumente zu erstellen, die wie von einer vertrauenswürdigen Quelle signiert aussehen, oder das Datum eines bereits signierten Dokuments zu ändern. Die Probleme wurden in den Versionen Apache OpenOffice 4.1.11 und LibreOffice 7.0.6/7.1.2 behoben, die unter dem Deckmantel von nicht sicherheitsrelevanten Fehlern veröffentlicht wurden (die Versionen LibreOffice 7.0.6 und 7.1.2 wurden Anfang Mai veröffentlicht, aber die Informationen über die Schwachstelle wurden erst jetzt bekannt gegeben).
- CVE-2021-41832, CVE-2021-25635 — ermöglicht es einem Angreifer, ein ODF-Dokument mit einem nicht vertrauenswürdigen, selbstsignierten Zertifikat zu signieren, indem er den Algorithmus der digitalen Signatur auf einen falschen oder nicht unterstützten Wert ändert, sodass das Dokument als vertrauenswürdig angezeigt wird (die Signatur mit einem fehlerhaften Algorithmus wurde als korrekt behandelt).
- CVE-2021-41830, CVE-2021-25633 — ermöglicht es einem Angreifer, durch Kombination von Daten in den Dateien documentsignatures.xml und macrosignatures.xml, die mit unterschiedlichen Zertifikaten signiert sind, ein ODF-Dokument oder ein Makro zu erstellen, das im Interface als vertrauenswürdig angezeigt wird, obwohl zusätzlich Inhalte vorhanden sind, die von einem anderen Zertifikat beglaubigt wurden.
- CVE-2021-41831, CVE-2021-25634 — ermöglicht Änderungen an einem signierten ODF-Dokument mit digitaler Signatur, die die dem Nutzer angezeigte Zeit der Generierung der digitalen Signatur verzerren, ohne die Vertrauensanzeige zu beeinträchtigen.
Quelle: opennet.ru
