Ostatnio ujawniono błąd znaleziony w popularnym pakiecie biurowym LibreOffice ta luka została skatalogowana w CVE-2019-9848. Ta usterka została znalezionae może być używany do wykonania dowolnego kodu podczas otwierania przygotowanych wcześniej dokumentów przez złośliwą osobę, a następnie w zasadzie rozprowadzają je i czekają, aż ofiara wykona te dokumenty.
Słaby punkt wynika z faktu, że składnik LibreLogo, dPrzeznaczony do nauki programowania i wstawiania rysunków wektorowych, przekłada jego działania na kod Pythona. Mając możliwość wykonywania instrukcji LibreLogo, osoba atakująca może wykonać dowolny kod w języku Python w kontekście bieżącej sesji użytkownika za pomocą polecenia „uruchom” dostępnego w programie LibreLogo. Z kolei w Pythonie, używając system (), możesz wywołać dowolne polecenia systemowe.
Zgodnie z opisem osoby, która zgłosiła ten błąd:
Makra dostarczane z LibreOffice działają bez monitowania użytkownika, nawet przy najwyższych ustawieniach bezpieczeństwa makr. Jeśli więc istnieje makro systemowe LibreOffice z błędem umożliwiającym uruchomienie kodu, użytkownik nie otrzyma nawet ostrzeżenia, a kod zostanie uruchomiony natychmiast.
O orzeczeniu
LibreLogo jest składnikiem opcjonalnym, ale makra LibreOffice są oferowane domyślnie, umożliwiając wywołanie LibreLogo i nie wymagają potwierdzenia operacji i nie wyświetlają ostrzeżenia, nawet wtedy, gdy włączony jest maksymalny tryb ochrony makr (wybór poziomu „Bardzo wysoki”).
W przypadku ataku możesz dołączyć takie makro do modułu obsługi zdarzenia, który odpala, na przykład, gdy najedziesz kursorem myszy na określony obszar lub aktywujesz fokus wprowadzania danych w dokumencie (zdarzenie onFocus).
Duży problem polega na tym, że kod nie jest dobrze przetłumaczony i zawiera tylko kod Pythonaponieważ kod skryptu często daje ten sam kod po przetłumaczeniu.
W efekcie, otwierając dokument przygotowany przez atakującego, można uzyskać ukryte wykonanie kodu Pythona, niewidoczne dla użytkownika.
Na przykład w przedstawionym przykładzie exploita po otwarciu dokumentu bez ostrzeżenia uruchamia się kalkulator systemowy.
I nie jest to pierwszy zgłoszony błąd, w którym wykorzystywane są zdarzenia w biurze od r miesiące temu ogłoszono kolejny przypadek, w którym w wersjach 6.1.0-6.1.3.1 pokazano, że plik kod jest wstrzykiwany możliwe w wersjach Linux i Windows, gdy użytkownik najedzie kursorem na złośliwy adres URL.
Ponieważ w ten sam sposób, w jaki została wykorzystana luka, nie wygenerowała żadnego typu ostrzeżenia. Gdy tylko użytkownik najedzie myszką na złośliwy adres URL, kod zostanie uruchomiony natychmiast.
Z drugiej strony użycie Pythona w pakiecie ujawniło również przypadki wykorzystywania błędów, w których pakiet wykonuje dowolny kod bez ograniczeń i ostrzeżeń.
Dzięki temu ludzie z LibreOffice mają wielkie zadanie przejrzeć tę część pakietu, ponieważ istnieje kilka znanych przypadków, które to wykorzystują.
Luka została naprawiona bez podawania dalszych szczegółów o tym lub informacje o nim w aktualizacji 6.2.5 z LibreOffice, wydany 1 lipca, ale okazało się, że problem nie został całkowicie rozwiązany (zablokowano jedynie wywołanie LibreLogo z makr), a kilka innych wektorów do przeprowadzenia ataku pozostało nieskorygowanych.
Ponadto problem nie został rozwiązany w wersji 6.1.6 zalecanej dla użytkowników korporacyjnych. Całkowite wyeliminowanie luki planowane jest w wydaniu LibreOffice 6.3, które ma nastąpić w przyszłym tygodniu.
Przed wydaniem pełnej aktualizacji użytkownikom zaleca się jawne wyłączenie komponentu LibreLogo, który domyślnie jest dostępny w wielu pakietach. Częściowo naprawiono lukę w systemach Debian, Fedora, SUSE / openSUSE i Ubuntu.
źródło: https://insinuator.net/