लिबरऑफिस और अपाचे ओपनऑफिस में कमजोरियां जो डिजिटल हस्ताक्षर सत्यापन को बायपास करने की अनुमति देती हैं

लिब्रे ऑफिस और अपाचे ओपनऑफिस कार्यालय सुइट्स में तीन कमजोरियों का खुलासा किया गया है जो हमलावरों को ऐसे दस्तावेज़ तैयार करने की अनुमति दे सकते हैं जो किसी भरोसेमंद स्रोत द्वारा हस्ताक्षरित प्रतीत होते हैं या पहले से हस्ताक्षरित दस्तावेज़ की तारीख को बदल सकते हैं। गैर-सुरक्षा बग की आड़ में Apache OpenOffice 4.1.11 और LibreOffice 7.0.6/7.1.2 के रिलीज में समस्याओं को ठीक किया गया था (LibreOffice 7.0.6 और 7.1.2 को मई की शुरुआत में प्रकाशित किया गया था, लेकिन भेद्यता केवल अब खुलासा हुआ है)।

• सीवीई-2021-41832, सीवीई-2021-25635 - एक हमलावर को एक अविश्वसनीय स्व-हस्ताक्षरित प्रमाणपत्र के साथ एक ओडीएफ दस्तावेज़ पर हस्ताक्षर करने की अनुमति देता है, लेकिन डिजिटल हस्ताक्षर एल्गोरिथ्म को गलत या असमर्थित मान में बदलकर, इस दस्तावेज़ को भरोसेमंद के रूप में प्रदर्शित करता है। (गलत एल्गोरिदम वाले हस्ताक्षर को सही माना गया)।
• सीवीई-2021-41830, सीवीई-2021-25633 - एक हमलावर को एक ओडीएफ दस्तावेज़ या मैक्रो बनाने की अनुमति देता है जो किसी अन्य प्रमाणपत्र द्वारा प्रमाणित अतिरिक्त सामग्री की उपस्थिति के बावजूद, इंटरफ़ेस में भरोसेमंद के रूप में प्रदर्शित किया जाएगा।
• सीवीई-2021-41831, सीवीई-2021-25634 - डिजिटल रूप से हस्ताक्षरित ओडीएफ दस्तावेज़ में बदलाव करने की अनुमति देता है जो विश्वास संकेत का उल्लंघन किए बिना उपयोगकर्ता को दिखाए गए डिजिटल हस्ताक्षर उत्पादन समय को विकृत करता है।

स्रोत: opennet.ru