Informatie over twee kwetsbaarheden in het gratis kantoorpakket LibreOffice is onthuld, waarvan de meest zorgwekkende mogelijk het uitvoeren van code toelaat bij het openen van een speciaal opgemaakt document. De eerste kwetsbaarheid werd zonder veel publiciteit verholpen in de maartversies 7.4.6 en 7.5.1, terwijl de tweede werd opgelost in de mei-updates van LibreOffice 7.4.7 en 7.5.3.
De eerste kwetsbaarheid (CVE-2023-0950) stelt aanvallers in staat om hun code uit te voeren in het systeem bij het openen van een spreadsheet met speciaal gemodificeerde formules, zoals AGGREGATE, waarin minder parameters zijn doorgegeven dan verwacht. Het probleem wordt veroorzaakt door een array index underflow in de code voor formule parsing (ScInterpreter), die wordt toegepast bij het verwerken van spreadsheets.
De tweede kwetsbaarheid (CVE-2023-2255) stelt een aanvaller in staat om een speciaal vormgegeven document voor te bereiden, waarbij externe links zonder bevestigingsprompt en waarschuwing worden geladen bij het openen, wat in strijd is met het geclaimde gedrag van LibreOffice, dat een waarschuwing moet tonen bij het laden van gekoppelde inhoud. Het probleem wordt veroorzaakt door een tekortkoming in de code voor autorisatie bij het gebruik van het mechanisme ‘Floating Frames’, dat lijkt op iframe in HTML en dynamisch de inhoud van externe bestanden in het document kan opnemen.
Bron: opennet.ru
