Sono state rivelate informazioni su tre vulnerabilità nei pacchetti per ufficio LibreOffice e Apache OpenOffice, che consentono agli aggressori di preparare documenti che appaiono firmati da fonti affidabili o di modificare la data di un documento già firmato. I problemi sono stati risolti nelle versioni Apache OpenOffice 4.1.11 e LibreOffice 7.0.6/7.1.2, travestiti da bug non legati alla sicurezza (le versioni di LibreOffice 7.0.6 e 7.1.2 sono state pubblicate all'inizio di maggio, ma le informazioni sulle vulnerabilità sono state rivelate solo ora).
- CVE-2021-41832, CVE-2021-25635 - consente all'aggressore di firmare un documento ODF con un certificato autofirmato non affidabile, ma cambiando l'algoritmo della firma digitale a un valore errato o non supportato, consentendo la visualizzazione di questo documento come affidabile (la firma con un algoritmo errato è stata trattata come valida).
- CVE-2021-41830, CVE-2021-25633 - consente all'aggressore, attraverso la fusione nei file documentsignatures.xml e macrosignatures.xml di dati firmati da diversi certificati, di creare un documento ODF o una macro che apparirà nell'interfaccia come affidabile, nonostante la presenza di contenuti aggiuntivi certificati da un altro certificato.
- CVE-2021-41831, CVE-2021-25634 - consente di apportare modifiche a un documento ODF firmato con una firma digitale, distorcendo il tempo di generazione della firma digitale visualizzato all'utente, senza compromettere l'indicazione di fiducia.
Fonte: opennet.ru
