LibreOffice'i ja Apache OpenOffice'i haavatavused, mis võimaldavad digitaalallkirja kontrolli ületada.

Avaldatud on teave kolme haavatavuse kohta LibreOffice'i ja Apache OpenOffice'i kontoripaketis, mis võimaldavad ründajatel koostada dokumente, mis näevad välja nagu usaldusväärse allika poolt allkirjastatud, või muuta juba allkirjastatud dokumendi kuupäeva. Probleemid on lahendatud Apache OpenOffice'i versioonides 4.1.11 ja LibreOffice'i 7.0.6/7.1.2, millega on esitatud mitteaga seotud turvavigad, (LibreOffice'i versioonid 7.0.6 ja 7.1.2 avaldati mai alguses, kuid teave haavatavuste kohta avaldati alles nüüd).

• CVE-2021-41832, CVE-2021-25635 - võimaldab ründajal allkirjastada ODF-dokumendi usaldusväärsete allkirjastamata sertifikaatide abil, kuid muutes digitaalallkirja algoritmi ebaõigeks või mitte toetatuks, et saada dokument kuvama usaldusväärsena (ebasobiv algoritm töötati üles nagu oleks see korrektne).
• CVE-2021-41830, CVE-2021-25633 - võimaldab ründajal, ühendades documentsignatures.xml ja macrosignatures.xml failides kirjatud andmeid, mis on allkirjastatud erinevate sertifikaatidega, luua ODF-dokumendi või makro, mis kuvatakse liideses usaldusväärsena, vaatamata sellele, et olemas on täiendav sisu, mida on kinnitanud teine sertifikaat.
• CVE-2021-41831, CVE-2021-25634 - võimaldab muuta digitaalallkirjastatud ODF-dokumenti, muutes kuvatud aega, mille jooksul digitaalallkiri on loodud, ilma usaldusindikaatori rikkumiseta.

Allikas: opennet.ru