Si s'exploten, aquestes falles poden permetre als atacants obtenir accés no autoritzat a informació confidencial o, en general, causar problemes
Es va donar a conèixer informació divulgada sobre dues vulnerabilitats detectades a la suite ofimàtica LibreOffice, una és considerada potencialment la més perillosa, ja que com a tal permet l'execució de codi en obrir un document especialment dissenyat.
La primera vulnerabilitat (ja catalogava baix CVE-2023-0950) és destacable ja que aquesta podia ser explotada potencialment en permetre que s'executi codi al sistema en obrir un full de càlcul que inclou fórmules especialment modificades.
S'esmenta que a les versions afectades de LibreOffice, certes fórmules de fulls de càlcul mal formades, amb AGGREGATE es podrien crear amb menys paràmetres dels esperats. El problema és degut a un subdesbordament de l'índex de matriu al codi d'anàlisi de fórmules (ScInterpreter) utilitzat en el processament de fulls de càlcul.
El mòdul de full de càlcul del LibreOffice admet diverses fórmules que prenen múltiples paràmetres. Les fórmules són interpretades per 'ScInterpreter' que extreu els paràmetres requerits per a una fórmula donada d'una pila.
La segona vulnerabilitat i la més perillosa és (CVE-2023-2255) i aquesta pren suma importància, ja que permet que un atacant prepari un document especialment dissenyat que, quan s'obre sense avís ni advertiment, carregarà enllaços externs, cosa que no correspon al comportament declarat de LibreOffice, que implica una advertència quan carregant contingut relacionat.
A les versions afectades de LibreOffice, aquests marcs flotants obtenen i mostren el vostre document vinculat sense avís en carregar el document host. Això no era coherent amb el comportament d'altres continguts de documents vinculats, com ara objectes OLE, seccions vinculades de Writer o fórmules de CALC WEBSERVICE que adverteixen a l'usuari que hi ha documents vinculats i pregunta si se'ls ha de permetre actualitzar.
El problema es deu a un error en el codi de sol·licitud de permís quan es fa servir el mecanisme de Marcs flotants, que és similar a un iframe en HTML i permet que el contingut dels fitxers externs s'inclogui dinàmicament al document.
Finalment s'esmenta que la primera vulnerabilitat es va corregir sense gaire publicitat a les versions de març 7.4.6 i 7.5.1 en les quals ja es valida el recompte de paràmetres i la segona vulnerabilitat va ser corregida en les actualitzacions de maig de LibreOffice 7.4.7 i 7.5.3 on l'administrador d'update link existent s'ha ampliat per controlar addicionalment l'actualització del contingut d'IFrames.
¿Com instal·lar LibreOffice 7.5.3?
Per als interessats en poder actualitzar la seva suite d'ofimàtica, han de saber que poden ja estar sobre la versió més actual que és la versió 7.5.3.
Si encara no estan sobre aquesta versió, poden executar les ordres d'actualització de la seva distribució o en tot cas poden fer el procés de manera manual. Per això primer hem de desinstal·lar primerament la versió anterior, això és per tal d'evitar problemes posteriors.
Per això hem d'obrir una terminal i executar el següent (per exemple a Ubuntu i derivats):
sudo apt-get remove --purge libreoffice*
sudo apt-get clean
sudo apt-get autoremove
Ara procedirem a dirigir-nos a la pàgina web oficial de el projecte on en la seva secció de descàrregues podrem obtenir el paquet deb per poder-lo instal·lar en el nostre sistema.
Feta la descàrrega anem a descomprimir el contingut de l'paquet acabat d'adquirir amb:
tar -xzvf LibreOffice_7.5.3_Linux*.tar.gz
Ingressem a directori creat després de descomprimir, en el meu cas és del de 64 bits:
cd LibreOffice_7.5.3_Linux_x86-64_deb
Després vam ingressar a la carpeta on hi ha els arxius deb de LibreOffice:
cd DEBS
I finalment vam instal·lar amb:
sudo dpkg -i *.deb
Com instal·lar LibreOffice 7.5.3 a Fedora, openSUSE i derivats?
Si estàs utilitzant un sistema que té el suport per poder instal·lar paquets rpm, pots instal·lar aquesta nova actualització obtenint el paquet rpm des de la pàgina de descàrregues de LibreOffice.
Obtingut el paquet descomprimim amb:
tar -xzvf LibreOffice_7.5.3_Linux_x86-64_rpm.tar.gz
I instal·lem els paquets que conté la carpeta amb:
sudo rpm -Uvh *.rpm
Com instal·lar LibreOffice 7.5.3 en Arch Linux, Manjaro i derivats?
Per al cas d'Arch i els seus sistemes derivats podem instal·lar aquesta versió de LibreOffice, només obrim una terminal i teclegem:
sudo pacman -Sy libreoffice-fresh