נקודות תורפה ב-LibreOffice וב-Apache OpenOffice המאפשרות לעקוף אימות חתימה דיגיטלית

שלוש נקודות תורפה נחשפו בחבילות המשרדיות LibreOffice ו- Apache OpenOffice שעלולות לאפשר לתוקפים להכין מסמכים שנראים חתומים על ידי מקור מהימן או לשנות את התאריך של מסמך שכבר חתום. הבעיות תוקנו במהדורות של Apache OpenOffice 4.1.11 ו-LibreOffice 7.0.6/7.1.2 במסווה של באגים שאינם אבטחה (LibreOffice 7.0.6 ו-7.1.2 פורסמו בתחילת מאי, אך הפגיעות הייתה רק נחשף כעת).

• CVE-2021-41832, CVE-2021-25635 - מאפשר לתוקף לחתום על מסמך ODF עם אישור חתום עצמי לא מהימן, אך על ידי שינוי אלגוריתם החתימה הדיגיטלית לערך שגוי או לא נתמך, להשיג את הצגת המסמך הזה כאמין (חתימה עם אלגוריתם שגוי טופלה כנכונה).
• CVE-2021-41830, CVE-2021-25633 - מאפשר לתוקף ליצור מסמך ODF או מאקרו שיוצגו בממשק כאמין, למרות הימצאות תוכן נוסף שאושר על ידי תעודה אחרת.
• CVE-2021-41831, CVE-2021-25634 - מאפשר לבצע שינויים במסמך ODF חתום דיגיטלית המעוות את זמן יצירת החתימה הדיגיטלית המוצג למשתמש מבלי להפר את ציון האמון.

מקור: OpenNet.ru