최근에 인기있는 LibreOffice Office 제품군에서 발견 된 버그가 릴리스되었습니다. 이 취약점은 CVE-2019-9848에 분류되었습니다. 이 결함이 발견되었습니다.e는 미리 준비된 문서를 열 때 임의의 코드를 실행하는 데 사용할 수 있습니다. 악의적 인 사람에 의해 기본적으로 배포되고 피해자가 이러한 문서를 실행할 때까지 기다립니다.
취약점 LibreLogo 구성 요소, d프로그래밍을 가르치고 벡터 드로잉을 삽입하기 위해 작업을 Python 코드로 변환합니다. LibreLogo 명령을 실행할 수있는 기능을 통해 공격자는 모든 Python 코드를 실행할 수 있습니다. 현재 사용자 세션의 컨텍스트에서 LibreLogo에 제공된 "실행"명령을 사용합니다. Python에서 system ()을 사용하여 임의의 시스템 명령을 호출 할 수 있습니다.
이 버그를보고 한 사람이 설명한대로 :
LibreOffice와 함께 제공되는 매크로는 가장 높은 매크로 보안 설정에서도 사용자에게 메시지를 표시하지 않고 실행됩니다. 따라서 코드 실행을 허용하는 오류가있는 LibreOffice 시스템 매크로가있는 경우 사용자는 경고도받지 않고 코드가 즉시 실행됩니다.
판결에 대해
LibreLogo는 선택적 구성 요소이지만 LibreOffice에서는 기본적으로 매크로가 제공됩니다. LibreLogo 호출 허용 작동 확인이 필요하지 않고 경고를 표시하지 않습니다. 매크로에 대한 최대 보호 모드가 활성화 된 경우에도 ( "매우 높음"수준 선택).
공격의 경우 이러한 매크로를 발생하는 이벤트 핸들러에 첨부 할 수 있습니다. 예를 들어, 특정 영역 위로 마우스를 가져 가거나 문서에서 입력 포커스를 활성화 할 때 (onFocus 이벤트).
여기서 큰 문제는 코드가 잘 번역되지 않고 파이썬 코드 만 제공한다는 것입니다.스크립트 코드는 종종 번역 후 동일한 코드를 생성하기 때문입니다.
결과적으로 공격자가 준비한 문서를 열면 사용자에게 보이지 않는 숨겨진 Python 코드 실행을 얻을 수 있습니다.
예를 들어 시연 된 익스플로잇 예제에서 경고없이 문서를 열면 시스템 계산기가 시작됩니다.
그리고 이벤트가 악용되는 최초보고 된 버그가 아닙니다. 이후 사무실 스위트에서 몇 달 전에 버전 6.1.0-6.1.3.1에서 또 다른 사례가 발표되었습니다. 그것은 코드 삽입은 Linux 및 Windows 버전에서는 사용자가 악성 URL 위에 마우스를 올려 놓을 때 가능합니다.
취약점이 악용되었을 때와 동일한 방식으로 어떤 유형의 경고 대화 상자도 생성하지 않았습니다. 사용자가 악성 URL 위로 마우스를 가져 가면 코드가 즉시 실행됩니다.
한편, 제품군 내에서 Python을 사용하면 제품군이 제한이나 경고없이 임의의 코드를 실행하는 버그 악용 사례도 밝혀졌습니다.
이를 통해 LibreOffice의 사람들은이를 활용하는 몇 가지 알려진 사례가 있기 때문에 제품군에서이 부분을 검토하는 훌륭한 작업을 수행합니다.
추가 세부 정보를 제공하지 않고 취약점이 수정되었습니다. 그것에 대해 또는 업데이트의 정보에 대해 6.2.5 LibreOffice에서, 1 월 XNUMX 일에 출시되었지만 문제가 완전히 해결되지 않았고 (매크로의 LibreLogo 호출 만 차단됨) 공격을 수행하기위한 일부 다른 벡터가 수정되지 않은 상태로 남아 있음이 밝혀졌습니다.
또한 회사 사용자에게 권장되는 버전 6.1.6에서는 문제가 해결되지 않았습니다. 취약점을 완전히 제거하기 위해 다음 주에 예정된 LibreOffice 6.3 릴리스에서 계획하고 있습니다.
전체 업데이트가 릴리스되기 전에 사용자는 기본적으로 많은 패키지에서 사용할 수있는 LibreLogo 구성 요소를 명시 적으로 비활성화하는 것이 좋습니다. 취약점은 Debian, Fedora, SUSE / openSUSE 및 Ubuntu에서 부분적으로 수정되었습니다.