디지털 서명 확인을 우회할 수 있는 LibreOffice 및 Apache OpenOffice의 취약점

공격자가 신뢰할 수 있는 소스가 서명한 것처럼 보이는 문서를 준비하거나 이미 서명된 문서의 날짜를 변경할 수 있는 LibreOffice 및 Apache OpenOffice 오피스 제품군의 세 가지 취약점이 공개되었습니다. 해당 문제는 Apache OpenOffice 4.1.11 및 LibreOffice 7.0.6/7.1.2 릴리스에서 비보안 버그로 인해 수정되었습니다(LibreOffice 7.0.6 및 7.1.2는 XNUMX월 초에 발표되었지만 취약점은 현재 공개됨).

• CVE-2021-41832, CVE-2021-25635 - 공격자가 신뢰할 수 없는 자체 서명 인증서를 사용하여 ODF 문서에 서명할 수 있도록 허용하지만 디지털 서명 알고리즘을 올바르지 않거나 지원되지 않는 값으로 변경하면 이 문서를 신뢰할 수 있는 것으로 표시할 수 있습니다. (잘못된 알고리즘을 사용한 서명은 올바른 것으로 간주되었습니다).
• CVE-2021-41830, CVE-2021-25633 - 공격자가 다른 인증서로 인증된 추가 콘텐츠가 있음에도 불구하고 인터페이스에 신뢰할 수 있는 것으로 표시되는 ODF 문서 또는 매크로를 생성할 수 있습니다.
• CVE-2021-41831, CVE-2021-25634 - 신뢰 표시를 위반하지 않고 사용자에게 표시되는 디지털 서명 생성 시간을 왜곡하는 디지털 서명된 ODF 문서를 변경할 수 있습니다.

출처 : opennet.ru