Recientemente Ein Fehler in der beliebten LibreOffice-Office-Suite wurde aufgedeckt Diese Sicherheitsanfälligkeit wurde in CVE-2019-9848 katalogisiert. Dieser Fehler gefunden se kann verwendet werden, um beim Öffnen vorbereiteter Dokumente beliebigen Code auszuführen von der böswilligen Person und verteilen Sie sie dann im Grunde und warten Sie, bis das Opfer diese Dokumente ausgeführt hat.
Verletzlichkeit wird durch die Tatsache verursacht, dass die LibreLogo-Komponente, dEs soll das Programmieren lehren und Vektorzeichnungen einfügen und übersetzt seine Operationen in Python-Code. Durch die Fähigkeit, LibreLogo-Anweisungen auszuführen, Ein Angreifer kann jeden Python-Code ausführen Verwenden Sie im Kontext der aktuellen Benutzersitzung den in LibreLogo bereitgestellten Befehl "run". In Python können Sie mit system () beliebige Systembefehle aufrufen.
Wie von der Person beschrieben, die diesen Fehler gemeldet hat:
Mit LibreOffice gelieferte Makros werden auch bei den höchsten Makrosicherheitseinstellungen ohne Aufforderung des Benutzers ausgeführt. Wenn es daher ein LibreOffice-Systemmakro mit einem Fehler gäbe, der die Ausführung von Code ermöglicht, würde der Benutzer nicht einmal eine Warnung erhalten und der Code würde sofort ausgeführt.
Über das Urteil
LibreLogo ist eine optionale Komponente, aber in LibreOffice werden standardmäßig Makros angeboten. Erlauben, LibreLogo aufzurufen und erfordern keine Bestätigung des Vorgangs und zeigen keine Warnung an, auch wenn der maximale Schutzmodus für Makros aktiviert ist (Auswahl der Stufe "Sehr hoch").
Für einen Angriff können Sie ein solches Makro an einen Ereignishandler anhängen, der ausgelöst wird. Zum Beispiel, wenn Sie mit der Maus über einen bestimmten Bereich fahren oder den Eingabefokus für das Dokument aktivieren (Ereignis onFocus).
Das große Problem hierbei ist, dass der Code nicht gut übersetzt ist und nur Python-Code enthältda Skriptcode nach der Übersetzung häufig denselben Code ergibt.
Wenn Sie ein von einem Angreifer erstelltes Dokument öffnen, können Sie daher eine versteckte Ausführung von Python-Code erreichen, die für den Benutzer unsichtbar ist.
Wenn Sie beispielsweise im gezeigten Exploit-Beispiel ein Dokument ohne Warnung öffnen, wird der Systemrechner gestartet.
Und ist, dass Nicht der erste gemeldete Fehler, bei dem Ereignisse ausgenutzt werden in der Office-Suite seit in Vor Monaten wurde ein weiterer Fall aufgedeckt, in dem in den Versionen 6.1.0-6.1.3.1 es wird gezeigt, dass die Code-Injection ist Unter Linux- und Windows-Versionen möglich, wenn ein Benutzer mit der Maus über eine schädliche URL fährt.
Da die Sicherheitsanfälligkeit auf die gleiche Weise ausgenutzt wurde, wurde kein Warndialog generiert. Sobald der Benutzer die Maus über die schädliche URL bewegt, wird der Code sofort ausgeführt.
Andererseits hat die Verwendung von Python in der Suite auch Fälle der Ausnutzung von Fehlern aufgedeckt, bei denen die Suite beliebigen Code ohne Einschränkungen oder Warnungen ausführt.
Damit haben die Mitarbeiter von LibreOffice eine großartige Aufgabe, diesen Teil der Suite zu überprüfen, da mehrere Fälle bekannt sind, die dies ausnutzen.
Die Sicherheitsanfälligkeit wurde behoben, ohne weitere Details anzugeben darüber oder über Informationen dazu im Update 6.2.5 von LibreOffice, veröffentlicht am 1. Juli, aber es stellte sich heraus, dass das Problem nicht vollständig gelöst wurde (nur der LibreLogo-Aufruf von Makros wurde blockiert) und einige andere Vektoren zur Durchführung des Angriffs blieben unkorrigiert.
Außerdem ist das Problem in Version 6.1.6, die für Unternehmensbenutzer empfohlen wird, nicht behoben. Um die Sicherheitsanfälligkeit vollständig zu beseitigen, ist die Veröffentlichung von LibreOffice 6.3 geplant, die nächste Woche erwartet wird.
Bevor ein vollständiges Update veröffentlicht wird, wird Benutzern empfohlen, die LibreLogo-Komponente, die standardmäßig in vielen Paketen verfügbar ist, explizit zu deaktivieren. Die Sicherheitsanfälligkeit wurde teilweise in Debian, Fedora, SUSE / openSUSE und Ubuntu behoben.
Quelle: https://insinuator.net/