Recientemente isang bug na natagpuan sa sikat na LibreOffice office suite ay pinakawalan Ang kahinaan na ito ay naka-catalog sa CVE-2019-9848. Natagpuan ang kasalanan na ito se maaaring magamit upang magpatupad ng di-makatwirang code kapag binubuksan ang paunang handa na mga dokumento ng taong nakakahamak at pagkatapos ay karaniwang ipamahagi ang mga ito at hintayin ang biktima na maipatupad ang mga dokumentong ito.
Kakayahang mangyari ay sanhi ng ang katunayan na ang bahagi ng LibreLogo, dInilaan na turuan ang pag-program at ipasok ang mga vector drawings, isinalin ang mga operasyon nito sa Python code. Sa pamamagitan ng pagkakaroon ng kakayahang magpatupad ng mga tagubilin sa LibreLogo, ang isang magsasalakay ay maaaring magpatupad ng anumang Python code sa konteksto ng kasalukuyang sesyon ng gumagamit, gamit ang "patakbuhin" na utos na ibinigay sa LibreLogo. Mula sa Python, gamit ang system (), sa turn, maaari kang tumawag ng di-makatwirang mga utos ng system.
Tulad ng inilarawan ng taong nag-ulat ng bug na ito:
Naipadala ang Macros gamit ang pagpapatakbo ng LibreOffice nang hindi hinihimok ang gumagamit, kahit na sa pinakamataas na mga setting ng seguridad ng macro. Kaya't kung mayroong isang system ng LibreOffice na may isang error na pinapayagan ang code na tumakbo, ang gumagamit ay hindi nakakakuha ng isang babala at tatakbo kaagad ang code.
Tungkol sa pagpapasya
Ang LibreLogo ay isang opsyonal na sangkap, ngunit sa LibreOffice macros ay inaalok bilang default, pinapayagan na tumawag sa LibreLogo at hindi nangangailangan ng kumpirmasyon ng operasyon at huwag ipakita ang isang babala, kahit na pinagana ang maximum na mode ng proteksyon para sa macros (pagpili sa antas na "Napakataas").
Para sa isang pag-atake, maaari mong ikabit ang tulad ng isang macro sa isang handler ng kaganapan na pinaputok, halimbawa, kapag pinasadya mo ang mouse sa isang tukoy na lugar o pinapagana ang pokus ng input sa dokumento (onFocus event).
Ang malaking problema dito ay ang code ay hindi maayos na isinalin at nagbibigay lamang ng python codebilang script code ay madalas na nagreresulta sa parehong code pagkatapos ng pagsasalin.
Bilang isang resulta, kapag binuksan mo ang isang dokumento na inihanda ng isang umaatake, maaari mong makamit ang nakatagong pagpapatupad ng Python code, na hindi nakikita ng gumagamit.
Halimbawa, sa ipinakitang halimbawang ipinakita, kapag binuksan mo ang isang dokumento nang walang babala, nagsisimula ang calculator ng system.
At hindi ang unang naiulat na bug kung saan ang mga kaganapan ay pinagsamantalahan sa office suite mula pa noong buwan na ang nakalilipas isa pang kaso ang inihayag kung saan sa mga bersyon 6.1.0-6.1.3.1 ipinakita na ang ang code injection ay posible sa mga bersyon ng Linux at Windows kapag ang isang gumagamit ay nag-hover sa isang nakakahamak na URL.
Dahil sa parehong paraan kapag ang kahinaan ay pinagsamantalahan, hindi ito nakabuo ng anumang uri ng diyalogo ng babala. Sa sandaling i-hover ng gumagamit ang mouse sa nakakahamak na URL, tumatakbo kaagad ang code.
Sa kabilang banda, ang paggamit ng Python sa loob ng suite ay nagsiwalat din ng mga kaso ng pagsasamantala ng mga bug kung saan ang suite ay nagpapatupad ng di-makatwirang code nang walang mga paghihigpit o babala.
Sa pamamagitan nito, ang mga mamamayan ng LibreOffice ay may malaking gawain na suriin ang bahaging ito sa suite dahil maraming mga kilalang kaso na sinasamantala ito.
Ang kahinaan ay naayos nang hindi nagbibigay ng karagdagang mga detalye tungkol dito o tungkol sa impormasyon tungkol dito sa pag-update 6.2.5 mula sa LibreOffice, na inilabas noong Hulyo 1, ngunit lumabas na ang problema ay hindi ganap na nalutas (ang tawag lamang sa LibreLogo mula sa macros ang naka-block) at ilang ibang mga vector upang maisagawa ang pag-atake ay nanatiling hindi naitama.
Gayundin, ang problema ay hindi nalulutas sa bersyon 6.1.6 na inirerekomenda para sa mga gumagamit ng korporasyon. Upang ganap na matanggal ang kahinaan ay binalak sa paglabas ng LibreOffice 6.3, na inaasahan sa susunod na linggo.
Bago mailabas ang isang buong pag-update, pinayuhan ang mga gumagamit na tahasang huwag paganahin ang bahagi ng LibreLogo, na bilang default ay magagamit sa maraming mga pakete. Bahagyang naayos ang kahinaan sa Debian, Fedora, SUSE / openSUSE, at Ubuntu.
Fuente: https://insinuator.net/