Három, a LibreOffice és az Apache OpenOffice irodai csomagokban található sebezhetőségről derült ki, amelyek lehetővé teszik a támadók számára, hogy olyan dokumentumokat készítsenek, amelyek úgy néznek ki, mint egy megbízható forrás által aláírtak, vagy hogy megváltoztassák egy már aláírt dokumentum dátumát. A problémákat az Apache OpenOffice 4.1.11 és a LibreOffice 7.0.6/7.1.2 kiadásaiban orvosolták, álcázottan nem biztonsági hibaként (a LibreOffice 7.0.6 és 7.1.2 kiadásai május elején jelentek meg, de a sérülékenységről csak most derült fény).
- CVE-2021-41832, CVE-2021-25635 - lehetővé teszi a támadó számára, hogy egy ODF-dokumentumot nem megbízható, önaláírt tanúsítvánnyal írjon alá, ám a digitális aláírás algoritmusának helytelen vagy nem támogatott értékre történő megváltoztatásával elérheti, hogy a dokumentum megbízhatónak tűnjön (a hibás algoritmusú aláírást érvényesnek kezelték).
- CVE-2021-41830, CVE-2021-25633 - lehetővé teszi a támadó számára, hogy az documentsignatures.xml és a macrosignatures.xml fájlokban különböző tanúsítványokkal aláírt adatok kombinálásával ODF-dokumentumot vagy makrót hozzon létre, amely a felhasználói felületben megbízhatónak tűnik, annak ellenére, hogy az extra tartalom más tanúsítvánnyal van hitelesítve.
- CVE-2021-41831, CVE-2021-25634 - lehetővé teszi a támadó számára, hogy módosításokat végezzen egy digitális aláírással rendelkező ODF-dokumentumban, amelyek torzítják a felhasználó számára megjelenített digitális aláírás létrehozásának időpontját anélkül, hogy a megbízhatóságot jelezné.
Forrás: opennet.ru
