Ils ont découvert une vulnérabilité critique dans Apache OpenOffice

Ça fait quelques jours une vulnérabilité a été révélée qui a été identifié dans la suite bureautique Apache OpenOffice, ce bogue répertorié sous CVE-2021-33035 permet l'exécution de code lors de l'ouverture d'un fichier spécialement conçu au format DBF.

Le problème c'est parce qu'OpenOffice s'appuie sur les valeurs fieldLength et fieldType dans l'en-tête des fichiers DBF pour allouer de la mémoire sans vérifier le type de données réel dans les champs.

À propos de la vulnérabilité

Pour effectuer une attaque, vous pouvez spécifier le type INTEGER dans la valeur fieldType, mais mettre des données plus volumineuses et spécifiez la valeur fieldLength qui ne correspond pas à la taille des données INTEGER, ce qui entraînera le fait que les données de file d'attente du champ seront écrites hors du tampon alloué.

À la suite d'un débordement de tampon contrôlé, le chercheur a pu redéfinir le pointeur de retour de la fonction et en utilisant des techniques de programmation orientée retour (ROP), réaliser l'exécution de son code.

Un conseil que j'ai reçu au début du voyage de recherche sur les vulnérabilités était de se concentrer sur un format de fichier, et non sur un logiciel spécifique. Il y a deux avantages principaux à cette approche. Premièrement, en tant que débutant, vous n'aviez pas l'expérience nécessaire pour identifier rapidement des vecteurs d'attaque uniques dans des applications individuelles, tandis que l'analyse de format de fichier a tendance à être un point d'entrée commun à de nombreuses applications. 

De plus, les formats de fichiers courants sont bien documentés à l'aide de demandes de commentaires (RFC) ou de code source ouvert, ce qui réduit la quantité d'efforts nécessaires pour procéder à l'ingénierie inverse du format..

Lorsqu'il utilise la technique ROP, l'attaquant ne cherche pas à mettre son code en mémoire, mais plutôt qui opère sur les parties du les instructions machine déjà disponibles dans les librairies chargées, se terminant par une instruction de retour de contrôle (en règle générale, il s'agit de la fin de la bibliothèque de fonctions).

Le travail de l'exploit se résume à construire une chaîne d'appels vers des blocs similaires ("gadgets") pour obtenir la fonctionnalité requise.

Comme gadgets dans l'exploit d'OpenOffice, il est mentionné que le code de la bibliothèque libxml2 utilisé dans OpenOffice a été utilisé, qui, contrairement à OpenOffice, s'est avéré être assemblé sans mécanismes de protection DEP (Data Execution Prevention) et ASLR (Address Space). Randomisation de la mise en page).

Les développeurs OpenOffice ont été informés du problème le 4 mai, après quoi une divulgation publique de la vulnérabilité était prévue pour le 30 août.

La branche stable n'ayant pas été mise à jour à la date prévu, etL'enquêteur a reporté la divulgation des détails jusqu'au 18 septembre, mais les développeurs OpenOffice n'ont pas eu le temps de construire la version 4.1.11 à ce moment-là. Il est à noter qu'au cours de la même étude, une vulnérabilité similaire a été révélée dans le code pour supporter le format DBF dans Microsoft Office Access (CVE-2021-38646), dont les détails seront divulgués ultérieurement. Aucun problème trouvé dans LibreOffice.

La documentation du format de fichier pour dBase était relativement facile à découvrir ; Wikipedia a une description simple de la version 5 du format et dBase LLC fournit également une spécification mise à jour. La Bibliothèque du Congrès répertorie un incroyable catalogue de formats de fichiers, y compris DBF. Les différentes versions et extensions du format DBF offrent aux programmeurs de nombreuses opportunités d'introduire des vulnérabilités d'analyse.

Le format DBF se compose de deux sections principales : l'en-tête et le corps. L'en-tête comprend un préfixe qui décrit la version de la base de données dBase, l'horodatage de la dernière mise à jour et d'autres métadonnées. Plus important encore, il spécifie la longueur de chaque enregistrement dans la base de données, la longueur de la structure d'en-tête, le nombre d'enregistrements et les champs de données dans un enregistrement.

Le chercheur qui a identifié le problème averti de la création d'un exploit fonctionnel pour la plate-forme Windows. Le correctif de la vulnérabilité n'est disponible que sous forme de correctif dans le référentiel du projet, qui a été inclus dans les versions de test d'OpenOffice 4.1.11.

Enfin, si vous souhaitez en savoir plus, vous pouvez consulter la note originale à l'adresse le lien suivant.