Foram divulgadas informações sobre três vulnerabilidades nos pacotes de escritório LibreOffice e Apache OpenOffice, que permitem que os atacantes preparem documentos que parecem ser assinados por uma fonte confiável ou alterem a data de um documento já assinado. Os problemas foram corrigidos nas versões Apache OpenOffice 4.1.11 e LibreOffice 7.0.6/7.1.2 disfarçados de erros não relacionados à segurança (as versões do LibreOffice 7.0.6 e 7.1.2 foram lançadas no início de maio, mas as informações sobre a vulnerabilidade foram reveladas apenas agora).
- CVE-2021-41832, CVE-2021-25635 — permite que um atacante assine um documento ODF com um certificado autoassinado não confiável, mas alterando o algoritmo de assinatura digital para um valor incorreto ou não suportado, fazendo com que este documento apareça como confiável (a assinatura com um algoritmo incorreto era tratada como válida).
- CVE-2021-41830, CVE-2021-25633 — permite que um atacante, por meio da combinação em arquivos documentsignatures.xml e macrosignatures.xml de dados assinados por diferentes certificados, crie um documento ODF ou macro que será exibido na interface como confiável, apesar da presença de conteúdo adicional assinado por outro certificado.
- CVE-2021-41831, CVE-2021-25634 — permite fazer alterações em um documento ODF assinado digitalmente, distorcendo a hora apresentada ao usuário da assinatura digital sem comprometer a indicação de confiança.
Fonte: opennet.ru
