Recientemente มีการเปิดเผยข้อบกพร่องที่พบในชุดโปรแกรมสำนักงาน LibreOffice ยอดนิยม ช่องโหว่นี้จัดทำรายการใน CVE-2019-9848 พบข้อผิดพลาดนี้e สามารถใช้เพื่อรันโค้ดโดยพลการเมื่อเปิดเอกสารที่เตรียมไว้ล่วงหน้า โดยผู้ไม่ประสงค์ดีจากนั้นแจกจ่ายโดยทั่วไปและรอให้เหยื่อดำเนินการตามเอกสารเหล่านี้
ช่องโหว่ เกิดจากข้อเท็จจริงที่ว่าองค์ประกอบ LibreLogo งมีจุดประสงค์เพื่อสอนการเขียนโปรแกรมและแทรกภาพวาดเวกเตอร์โดยจะแปลการดำเนินการเป็นรหัส Python ด้วยความสามารถในการดำเนินการคำสั่ง LibreLogo ผู้โจมตีสามารถรันโค้ด Python ได้ ในบริบทของเซสชันผู้ใช้ปัจจุบันโดยใช้คำสั่ง "run" ที่มีให้ใน LibreLogo จาก Python โดยใช้ system () ในทางกลับกันคุณสามารถเรียกใช้คำสั่งระบบโดยพลการ
ตามที่ผู้รายงานข้อบกพร่องนี้อธิบายไว้:
มาโครที่มาพร้อมกับ LibreOffice จะทำงานโดยไม่ต้องแจ้งให้ผู้ใช้ทราบแม้จะตั้งค่าความปลอดภัยมาโครไว้สูงสุดก็ตาม ดังนั้นหากมีมาโครระบบ LibreOffice ที่มีข้อผิดพลาดในการอนุญาตให้โค้ดทำงานผู้ใช้จะไม่ได้รับคำเตือนและโค้ดจะทำงานทันที
เกี่ยวกับการพิจารณาคดี
LibreLogo เป็นส่วนประกอบที่เป็นทางเลือก แต่ในมาโคร LibreOffice มีให้โดยค่าเริ่มต้น อนุญาตให้เรียก LibreLogo และไม่ต้องการการยืนยันการดำเนินการและไม่แสดงคำเตือน แม้ว่าจะเปิดใช้งานโหมดการป้องกันสูงสุดสำหรับมาโคร (เลือกระดับ "สูงมาก")
สำหรับการโจมตีคุณสามารถแนบมาโครดังกล่าวกับตัวจัดการเหตุการณ์ที่ยิง ตัวอย่างเช่นเมื่อคุณวางเมาส์เหนือพื้นที่ใดพื้นที่หนึ่งหรือเปิดใช้งานอินพุตโฟกัสบนเอกสาร (เหตุการณ์ onFocus)
ปัญหาใหญ่ที่นี่คือโค้ดไม่ได้รับการแปลอย่างดีและให้เฉพาะโค้ด pythonเนื่องจากรหัสสคริปต์มักให้ผลลัพธ์เป็นรหัสเดียวกันหลังการแปล
ด้วยเหตุนี้เมื่อคุณเปิดเอกสารที่เตรียมโดยผู้โจมตีคุณจะสามารถดำเนินการซ่อนโค้ด Python ได้โดยที่ผู้ใช้มองไม่เห็น
ตัวอย่างเช่นในตัวอย่างการใช้ประโยชน์ที่แสดงให้เห็นเมื่อคุณเปิดเอกสารโดยไม่มีการเตือนเครื่องคำนวณระบบจะเริ่มทำงาน
และนั่นก็คือ ไม่ใช่ข้อผิดพลาดที่รายงานครั้งแรกซึ่งเหตุการณ์ถูกใช้ประโยชน์ ในชุดสำนักงานตั้งแต่ใน เดือนที่แล้วมีการประกาศอีกกรณีหนึ่งซึ่งในเวอร์ชัน 6.1.0-6.1.3.1 จะแสดงให้เห็นว่า การฉีดรหัสคือ เป็นไปได้ในเวอร์ชัน Linux และ Windows เมื่อผู้ใช้วางเมาส์เหนือ URL ที่เป็นอันตราย
เนื่องจากในลักษณะเดียวกับเมื่อช่องโหว่ถูกใช้ประโยชน์จึงไม่ได้สร้างกล่องโต้ตอบคำเตือนใด ๆ ทันทีที่ผู้ใช้วางเมาส์เหนือ URL ที่เป็นอันตรายโค้ดจะทำงานทันที
ในทางกลับกันการใช้ Python ภายในชุดโปรแกรมยังเปิดเผยกรณีของการใช้ประโยชน์จากข้อบกพร่องที่ชุดโปรแกรมเรียกใช้รหัสตามอำเภอใจโดยไม่มีข้อ จำกัด หรือคำเตือน
ด้วยเหตุนี้ผู้คนของ LibreOffice จึงมีงานที่ดีในการตรวจสอบส่วนนี้ในชุดเนื่องจากมีหลายกรณีที่เป็นที่รู้จักที่ใช้ประโยชน์จากสิ่งนี้
ช่องโหว่ได้รับการแก้ไขโดยไม่ให้รายละเอียดเพิ่มเติม เกี่ยวกับเรื่องนี้หรือข้อมูลเกี่ยวกับเรื่องนี้ในการอัปเดต 6.2.5 จาก LibreOfficeเผยแพร่เมื่อวันที่ 1 กรกฎาคม แต่ปรากฎว่าปัญหายังไม่ได้รับการแก้ไขอย่างสมบูรณ์ (เฉพาะการโทร LibreLogo จากมาโครเท่านั้นที่ถูกบล็อก) และเวกเตอร์อื่น ๆ เพื่อดำเนินการโจมตียังคงไม่ได้รับการแก้ไข
นอกจากนี้ปัญหายังไม่ได้รับการแก้ไขในเวอร์ชัน 6.1.6 ที่แนะนำสำหรับผู้ใช้องค์กร เพื่อกำจัดช่องโหว่อย่างสมบูรณ์มีการวางแผนไว้ใน LibreOffice 6.3 ซึ่งคาดว่าจะเปิดตัวในสัปดาห์หน้า
ก่อนที่จะมีการปล่อยการอัปเดตเต็มรูปแบบขอแนะนำให้ผู้ใช้ปิดการใช้งานส่วนประกอบ LibreLogo อย่างชัดเจนซึ่งโดยค่าเริ่มต้นจะมีให้ในหลายแพ็คเกจ แก้ไขช่องโหว่บางส่วนใน Debian, Fedora, SUSE / openSUSE และ Ubuntu
Fuente: https://insinuator.net/