Recientemente бе разкрита грешка, открита в популярния офис пакет LibreOffice тази уязвимост е каталогизирана в CVE-2019-9848. Тази грешка е установена se може да се използва за изпълнение на произволен код при отваряне на предварително подготвени документи от злонамереното лице и след това основно ги разпространява и изчаква жертвата да изпълни тези документи.
Уязвимост е причинено от факта, че компонентът LibreLogo, dПредназначен да преподава програмиране и вмъкване на векторни рисунки, той превежда своите операции в Python код. Като имате възможност да изпълнявате инструкции на LibreLogo, нападателят може да изпълни всеки код на Python в контекста на текущата потребителска сесия, използвайки командата "стартиране", предоставена в LibreLogo. От Python, използвайки system (), от своя страна можете да извиквате произволни системни команди.
Както е описано от човека, който е съобщил за тази грешка:
Макросите, които се доставят с LibreOffice, се изпълняват, без да подканват потребителя, дори при най-високите настройки за защита на макросите. Така че, ако имаше макрос на системата LibreOffice с грешка, позволяваща стартиране на код, потребителят дори нямаше да получи предупреждение и кодът щеше да се стартира веднага.
Относно решението
LibreLogo е незадължителен компонент, но в LibreOffice макросите се предлагат по подразбиране, позволявайки да се обадите на LibreLogo и не изискват потвърждение на операцията и не показват предупреждение, дори когато е активиран режимът на максимална защита за макроси (избор на ниво "Много високо").
За атака можете да прикачите такъв макрос към манипулатор на събития, който се задейства, например, когато задържите мишката върху определена област или когато активирате фокус на въвеждане върху документа (събитие onFocus).
Големият проблем тук е, че кодът не е добре преведен и предоставя само код на pythonтъй като скриптовият код често води до същия код след превод.
В резултат на това, когато отворите документ, изготвен от нападател, можете да постигнете скрито изпълнение на Python код, невидимо за потребителя.
Например, в демонстрирания пример за експлойт, когато отворите документ без предупреждение, системният калкулатор се стартира.
И не е първата съобщена грешка, в която се експлоатират събития в офис апартамента от преди месеци беше обявен друг случай, при който във версии 6.1.0-6.1.3.1 е показано, че код инжекция е възможно във версиите на Linux и Windows, когато потребител се задържи над злонамерен URL адрес.
Тъй като по същия начин, когато уязвимостта беше експлоатирана, тя не генерира никакъв тип предупредителен диалог. Веднага след като потребителят задържи мишката върху злонамерения URL, кодът се стартира незабавно.
От друга страна, използването на Python в пакета също разкрива случаи на експлоатация на грешки, при които пакетът изпълнява произволен код без ограничения или предупреждения.
С това хората на LibreOffice имат страхотна задача да прегледат тази част в пакета, тъй като има няколко известни случая, които се възползват от това.
Уязвимостта беше отстранена, без да се дават повече подробности за него или за информация за него в актуализацията 6.2.5 от LibreOffice, пуснат на 1 юли, но се оказа, че проблемът не е напълно разрешен (блокирано е само обаждането LibreLogo от макроси) и някои други вектори за извършване на атаката остават некоригирани.
Също така проблемът не е разрешен във версия 6.1.6, препоръчана за корпоративни потребители. За пълното премахване на уязвимостта се планира издаването на LibreOffice 6.3, което се очаква следващата седмица.
Преди да бъде пусната пълна актуализация, на потребителите се препоръчва да деактивират изрично компонента LibreLogo, който по подразбиране се предлага в много пакети. Частично е отстранена уязвимостта в Debian, Fedora, SUSE / openSUSE и Ubuntu.
Fuente: https://insinuator.net/