ਲਿਬਰੇਆਫਿਸ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ

ਓਪਨ-ਸੋਰਸ ਆਫਿਸ ਸੂਟ ਲਿਬਰੇਆਫਿਸ ਵਿੱਚ ਦੋ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਗਿਆ ਹੈ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਸਭ ਤੋਂ ਖਤਰਨਾਕ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਦਸਤਾਵੇਜ਼ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਪਹਿਲੀ ਕਮਜ਼ੋਰੀ ਨੂੰ ਲਿਬਰੇਆਫਿਸ 7.4.6 ਅਤੇ 7.5.1 ਦੇ ਮਾਰਚ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਚੁੱਪ-ਚਾਪ ਪੈਚ ਕੀਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਦੂਜੀ ਲਿਬਰੇਆਫਿਸ 7.4.7 ਅਤੇ 7.5.3 ਦੇ ਮਈ ਅਪਡੇਟਾਂ ਵਿੱਚ।

ਪਹਿਲੀ ਕਮਜ਼ੋਰੀ (CVE-2023-0950) ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜਦੋਂ ਇੱਕ ਸਪ੍ਰੈਡਸ਼ੀਟ ਖੋਲ੍ਹੀ ਜਾਂਦੀ ਹੈ ਜਿਸ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਸੋਧੇ ਹੋਏ ਫਾਰਮੂਲੇ ਹੁੰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ AGGREGATE, ਜੋ ਉਮੀਦ ਨਾਲੋਂ ਘੱਟ ਪੈਰਾਮੀਟਰ ਪਾਸ ਕਰਦੇ ਹਨ। ਇਹ ਸਮੱਸਿਆ ਸਪ੍ਰੈਡਸ਼ੀਟਾਂ ਨੂੰ ਪ੍ਰੋਸੈਸ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਫਾਰਮੂਲਾ ਪਾਰਸਿੰਗ ਕੋਡ (ScInterpreter) ਵਿੱਚ ਇੱਕ ਐਰੇ ਇੰਡੈਕਸ ਅੰਡਰਫਲੋ ਕਾਰਨ ਹੁੰਦੀ ਹੈ।

ਦੂਜੀ ਕਮਜ਼ੋਰੀ (CVE-2023-2255) ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਦਸਤਾਵੇਜ਼ ਬਣਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ, ਜੋ ਖੋਲ੍ਹਣ 'ਤੇ, ਬਿਨਾਂ ਕਿਸੇ ਸੰਕੇਤ ਜਾਂ ਚੇਤਾਵਨੀ ਦੇ ਬਾਹਰੀ ਲਿੰਕਾਂ ਨੂੰ ਲੋਡ ਕਰਦਾ ਹੈ। ਇਹ ਲਿਬਰੇਆਫਿਸ ਦੇ ਉਦੇਸ਼ਿਤ ਵਿਵਹਾਰ ਨਾਲ ਅਸੰਗਤ ਹੈ, ਜੋ ਕਿ ਲਿੰਕ ਕੀਤੀ ਸਮੱਗਰੀ ਨੂੰ ਲੋਡ ਕਰਨ ਵੇਲੇ ਇੱਕ ਚੇਤਾਵਨੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨਾ ਹੈ। ਇਹ ਮੁੱਦਾ "ਫਲੋਟਿੰਗ ਫਰੇਮ" ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਅਨੁਮਤੀਆਂ ਬੇਨਤੀ ਕੋਡ ਵਿੱਚ ਇੱਕ ਨੁਕਸ ਕਾਰਨ ਹੁੰਦਾ ਹੈ, ਜੋ ਕਿ HTML ਦੇ iframe ਦੇ ਸਮਾਨ ਹੈ, ਜੋ ਇੱਕ ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਬਾਹਰੀ ਫਾਈਲ ਸਮੱਗਰੀ ਨੂੰ ਗਤੀਸ਼ੀਲ ਰੂਪ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru