Nella suite per ufficio LibreOffice vulnerabilità (), che può essere utilizzata per eseguire codice arbitrario aprendo documenti preparati da un malintenzionato.
La vulnerabilità è causata dal fatto che il componente LibreLogo, progettato per l'insegnamento della programmazione e l'inserimento di immagini vettoriali, traduce le sue operazioni in codice Python. Avendo la possibilità di eseguire comandi LibreLogo, un malintenzionato può far eseguire qualsiasi codice Python nel contesto della sessione corrente dell'utente, sfruttando il comando «run» fornito in LibreLogo. Da Python, tramite la funzione system(), è possibile chiamare comandi di sistema arbitrari.
LibreLogo è un componente opzionale, ma in LibreOffice vengono offerti per impostazione predefinita macro che consentono di chiamare LibreLogo senza richiedere conferma per l'esecuzione e senza mostrare avvisi, anche quando è attivata la modalità di massima protezione delle macro (selezionando il livello «Very High»).
Per un attacco è possibile legare una macro a un gestore di eventi, attivato ad esempio al passaggio del cursore del mouse su una determinata area o con l'attivazione del focus di input nel documento (evento onFocus). Di conseguenza, aprendo un documento preparato dall'attaccante è possibile eseguire in modo invisibile codice Python, senza che l'utente se ne accorga. Ad esempio, nell'esempio dimostrativo dell'exploit, all'apertura del documento si avvia senza avviso la calcolatrice di sistema.
La vulnerabilità è stata corretta senza pubblicità nell'aggiornamento di LibreOffice 6.2.5, rilasciato il 1° luglio, ma si è scoperto che il problema non è stato completamente risolto (è stata bloccata solo la chiamata a LibreLogo dalle macro) e alcuni altri vettori di attacco. Inoltre, il problema non è risolto nella versione 6.1.6, consigliata per gli utenti aziendali. Si prevede che la vulnerabilità verrà completamente eliminata nella versione LibreOffice 6.3, attesa per la prossima settimana. Fino al rilascio di un aggiornamento completo, si consiglia agli utenti di disattivare esplicitamente il componente LibreLogo, che per impostazione predefinita è disponibile in molte distribuzioni. La vulnerabilità è stata parzialmente corretta in , , e .
Fonte: opennet.ru
