หากถูกโจมตี ข้อบกพร่องเหล่านี้อาจทำให้ผู้โจมตีเข้าถึงข้อมูลที่ละเอียดอ่อนโดยไม่ได้รับอนุญาต หรือก่อให้เกิดปัญหาโดยทั่วไป
ข้อมูลที่เปิดเผยเกี่ยวกับ ตรวจพบช่องโหว่ XNUMX รายการในชุดโปรแกรมสำนักงาน LibreOffice หนึ่งในนั้นถือเป็นสิ่งที่อันตรายที่สุดเนื่องจากช่วยให้สามารถเรียกใช้โค้ดได้เมื่อเปิดเอกสารที่ออกแบบมาเป็นพิเศษ
ช่องโหว่แรก (มีแคตตาล็อกอยู่ใน CVE-2023-0950) มีความโดดเด่นเนื่องจากอาจถูกใช้ประโยชน์โดยอนุญาตให้เรียกใช้รหัสในระบบโดยการเปิดสเปรดชีตที่มีสูตรที่แก้ไขเป็นพิเศษ
เป็นที่กล่าวขวัญกันว่า ใน LibreOffice เวอร์ชันที่ได้รับผลกระทบ สูตรสเปรดชีตบางสูตร ผิดรูปแบบด้วย AGGREGATE สามารถสร้างได้ด้วยพารามิเตอร์ที่น้อยกว่าที่คาดไว้ ปัญหาเกิดจากดัชนีอาร์เรย์ล้นเกินในรหัสแยกวิเคราะห์สูตร (ScInterpreter) ที่ใช้ในการประมวลผลสเปรดชีต
โมดูลสเปรดชีต LibreOffice รองรับหลายสูตรที่ใช้หลายพารามิเตอร์ สูตรถูกตีความโดย 'ScInterpreter' ซึ่งจะแยกพารามิเตอร์ที่จำเป็นสำหรับสูตรที่กำหนดจากสแต็ก
ช่องโหว่ที่สอง และที่อันตรายที่สุดคือ (CVE-2023-2255) และสิ่งนี้มีความสำคัญอย่างยิ่งเนื่องจาก ทำให้ผู้โจมตีสามารถเตรียมเอกสารได้ ออกแบบมาเป็นพิเศษเมื่อเปิดโดยไม่แจ้งให้ทราบหรือเตือนล่วงหน้า จะโหลดลิงก์ภายนอกซึ่งไม่สอดคล้องกับพฤติกรรมที่ประกาศของ LibreOfficeซึ่งแสดงถึงคำเตือนเมื่อโหลดเนื้อหาที่เกี่ยวข้อง
ใน LibreOffice เวอร์ชันที่ได้รับผลกระทบ iframes เหล่านี้จะรับและแสดงเอกสารที่เชื่อมโยงโดยไม่ต้องแจ้งเมื่อโหลดเอกสารโฮสต์ สิ่งนี้ไม่สอดคล้องกับลักษณะการทำงานของเนื้อหาเอกสารที่เชื่อมโยงอื่นๆ เช่น ออบเจ็กต์ OLE ส่วนที่เชื่อมโยงของ Writer หรือสูตร CALC WEBSERVICE ที่เตือนผู้ใช้ว่ามีเอกสารที่เชื่อมโยงและถามว่าพวกเขาควรได้รับอนุญาตให้อัปเดตหรือไม่
ปัญหานี้เกิดจากจุดบกพร่องในรหัสคำขออนุญาตเมื่อใช้กลไก "เฟรมลอย" ซึ่งคล้ายกับ iframe ใน HTML และอนุญาตให้รวมเนื้อหาจากไฟล์ภายนอกไว้ในเอกสารแบบไดนามิก
ในที่สุดมีการกล่าวถึงช่องโหว่แรกได้รับการแก้ไขโดยไม่มีการประชาสัมพันธ์มากนักในเวอร์ชัน 7.4.6 และ 7.5.1 ประจำเดือนมีนาคม ซึ่งจำนวนพารามิเตอร์ได้รับการตรวจสอบความถูกต้องแล้ว และช่องโหว่ที่สองได้รับการแก้ไขในการอัปเดต LibreOffice 7.4.7 และ 7.5.3 ในเดือนพฤษภาคม XNUMX ซึ่งตัวจัดการลิงก์การอัปเดตที่มีอยู่ได้รับการขยายเพื่อควบคุมการอัปเดตเนื้อหา IFrames เพิ่มเติม
จะติดตั้ง LibreOffice 7.5.3 ได้อย่างไร?
สำหรับผู้ที่สนใจสามารถอัปเดตชุดโปรแกรมสำนักงานได้ พวกเขาควรทราบว่าพวกเขาอาจใช้เวอร์ชันล่าสุดแล้ว ซึ่งก็คือเวอร์ชัน 7.5.3
หากคุณยังไม่ได้ใช้เวอร์ชันนี้ คุณสามารถเรียกใช้คำสั่งอัปเดตของการแจกจ่ายของคุณ หรือในกรณีนั้น คุณสามารถดำเนินการด้วยตนเองได้ สำหรับมันก่อน เราต้องถอนการติดตั้งเวอร์ชันก่อนหน้าก่อน เพื่อไม่ให้เกิดปัญหาในภายหลัง
ในการทำเช่นนี้เราต้องเปิดเทอร์มินัลและดำเนินการต่อไปนี้ (เช่นใน Ubuntu และอนุพันธ์):
sudo apt-get remove --purge libreoffice*
sudo apt-get clean
sudo apt-get autoremove
ตอนนี้เราจะดำเนินการต่อไป ไปที่เว็บไซต์อย่างเป็นทางการของโครงการ เราสามารถทำได้ในส่วนการดาวน์โหลดของคุณ รับแพ็คเกจ deb เพื่อให้สามารถติดตั้งในระบบของเรา
ดาวน์โหลดเสร็จแล้ว เราจะเปิดเครื่องรูดเนื้อหาของแพ็คเกจที่ซื้อใหม่ด้วย:
tar -xzvf LibreOffice_7.5.3_Linux*.tar.gz
เราเข้าสู่ไดเร็กทอรีที่สร้างขึ้นหลังจากการคลายซิปในกรณีของฉันคือ 64 บิต:
cd LibreOffice_7.5.3_Linux_x86-64_deb
จากนั้นไปที่โฟลเดอร์ที่มีไฟล์ deb LibreOffice:
cd DEBS
และในที่สุดเราก็ติดตั้งด้วย:
sudo dpkg -i *.deb
จะติดตั้ง LibreOffice 7.5.3 บน Fedora, openSUSE และอนุพันธ์ได้อย่างไร
Si คุณกำลังใช้ระบบที่รองรับการติดตั้งแพ็กเกจรอบต่อนาที คุณสามารถติดตั้งการอัปเดตใหม่นี้ได้โดยรับแพ็กเกจรอบต่อนาทีจากหน้าดาวน์โหลด LibreOffice
ได้รับแพ็คเกจที่เราเปิดเครื่องรูดด้วย:
tar -xzvf LibreOffice_7.5.3_Linux_x86-64_rpm.tar.gz
และเราติดตั้งแพ็คเกจที่โฟลเดอร์ประกอบด้วย:
sudo rpm -Uvh *.rpm
จะติดตั้ง LibreOffice 7.5.3 บน Arch Linux, Manjaro และอนุพันธ์ได้อย่างไร
ในกรณีของ Arch และระบบที่ได้รับ เราสามารถติดตั้ง LibreOffice เวอร์ชันนี้ได้เพียงแค่เปิดเทอร์มินัลแล้วพิมพ์:
sudo pacman -Sy libreoffice-fresh