LibreOffice मा कमजोरी जसले खराब कागजातहरू खोल्दा कोड कार्यान्वयन गर्न अनुमति दिन्छ

LibreOffice कार्यालय सुइट मा पहिचान गरियो जोखिम (CVE-2019-9848), जुन आक्रमणकारीद्वारा तयार गरिएका कागजातहरू खोल्दा मनमानी कोड कार्यान्वयन गर्न प्रयोग गर्न सकिन्छ।

असुरक्षा यो तथ्यको कारणले गर्दा हुन्छ कि LibreLogo कम्पोनेन्ट, प्रोग्रामिङ सिकाउन र भेक्टर रेखाचित्रहरू सम्मिलित गर्न डिजाइन गरिएको, यसको सञ्चालनलाई पाइथन कोडमा अनुवाद गर्दछ। LibreLogo निर्देशनहरू कार्यान्वयन गर्ने क्षमताको साथ, आक्रमणकर्ताले LibreLogo मा प्रदान गरिएको "रन" आदेश प्रयोग गरेर हालको प्रयोगकर्ता सत्रको सन्दर्भमा कुनै पनि पाइथन कोड कार्यान्वयन गर्न सक्छ। Python बाट, system() प्रकार्य प्रयोग गरेर, तपाईले, बदलेमा, स्वेच्छाचारी प्रणाली आदेशहरू कल गर्न सक्नुहुन्छ।

LibreLogo एक वैकल्पिक कम्पोनेन्ट हो, तर LibreOffice ले पूर्वनिर्धारित रूपमा म्याक्रोहरू प्रदान गर्दछ जसले तपाईंलाई LibreLogo कल गर्न अनुमति दिन्छ र सञ्चालनको पुष्टिकरण आवश्यक पर्दैन र अधिकतम म्याक्रो सुरक्षा मोड सक्षम पारिएको बेलामा पनि चेतावनी प्रदर्शन गर्दैन ("धेरै उच्च" स्तर चयन गर्दै। )।
आक्रमण गर्न, तपाईंले ट्रिगर गरिएको घटना ह्यान्डलरमा यस्तो म्याक्रो बाँध्न सक्नुहुन्छ, उदाहरणका लागि, जब माउस कर्सर निश्चित क्षेत्रमा होभर गरिएको छ वा जब कागजातमा इनपुट फोकस सक्रिय हुन्छ (onFocus घटना)। नतिजाको रूपमा, आक्रमणकारीद्वारा तयार गरिएको कागजात खोल्दा, प्रयोगकर्तालाई थाहा नभएको पाइथन कोडको लुकेको कार्यान्वयन प्राप्त गर्न सम्भव छ। उदाहरण को लागी, शोषण उदाहरण मा, कागजात खोल्दा, प्रणाली क्यालकुलेटर बिना चेतावनी सुरु हुन्छ।

जुलाई 6.2.5 मा जारी गरिएको LibreOffice 1 अपडेटमा कमजोरी चुपचाप फिक्स गरिएको थियो, तर यो समस्या पूर्ण रूपमा हटाइएको थिएन (म्याक्रोबाट लिब्रेलोगोलाई मात्र कल गर्न रोक लगाइएको थियो) र असुधारित रहनुहोस् केही अन्य आक्रमण वेक्टरहरू। थप रूपमा, 6.1.6 रिलीजमा समस्या समाधान गरिएको छैन, जुन उद्यम प्रयोगकर्ताहरूको लागि सिफारिस गरिएको छ। अर्को हप्ता अपेक्षित LibreOffice 6.3 को रिलीजमा कमजोरी पूर्ण रूपमा समाधान गर्ने योजना छ। पूर्ण अद्यावधिक जारी नभएसम्म, प्रयोगकर्ताहरूलाई LibreLogo कम्पोनेन्टलाई स्पष्ट रूपमा असक्षम गर्न सल्लाह दिइन्छ, जुन धेरै वितरणहरूमा पूर्वनिर्धारित रूपमा उपलब्ध छ। कमजोरी आंशिक रूपमा तय गरिएको छ Debian, फेडोरा, SUSE/openSUSE и Ubuntu.

स्रोत: opennet.ru