Sono emerse informazioni su tre vulnerabilità nei pacchetti per ufficio LibreOffice e Apache OpenOffice, che consentono agli aggressori di preparare documenti che appaiono come se fossero firmati da una fonte affidabile, o di modificare la data di un documento già firmato. I problemi sono stati risolti nelle versioni Apache OpenOffice 4.1.11 e LibreOffice 7.0.6/7.1.2, presentati come bug non correlati alla sicurezza (le versioni di LibreOffice 7.0.6 e 7.1.2 sono state pubblicate all'inizio di maggio, ma le informazioni sulle vulnerabilità sono state rivelate solo adesso).
- CVE-2021-41832, CVE-2021-25635 — consente a un attaccante di firmare un documento ODF con un certificato autofirmato non affidabile, ma modificando l'algoritmo di firma digitale a un valore errato o non supportato, facendo apparire questo documento come se fosse affidabile (la firma con un algoritmo errato veniva gestita come valida).
- CVE-2021-41830, CVE-2021-25633 — consente a un attaccante, attraverso la fusione dei file documentsignatures.xml e macrosignatures.xml contenenti dati firmati con certificati diversi, di creare un documento ODF o un macro che apparirà nel'interfaccia come affidabile, nonostante la presenza di contenuti aggiuntivi firmati con un altro certificato.
- CVE-2021-41831, CVE-2021-25634 — consente di apportare modifiche a un documento ODF firmato digitalmente, distorcendo il tempo di creazione della firma digitale visualizzato all'utente senza compromettere l'indicazione di fiducia.
Fonte: opennet.ru
