Recientemente popüler LibreOffice ofis paketinde bulunan bir hata ortaya çıktı bu güvenlik açığı CVE-2019-9848'de kataloğa alınmıştır. Bu hata s bulundue önceden hazırlanmış belgeleri açarken isteğe bağlı kod çalıştırmak için kullanılabilir kötü niyetli kişi tarafından ve ardından temelde dağıtın ve kurbanın bu belgeleri yürütmesini bekleyin.
Güvenlik Açığı LibreLogo bileşeninin, dProgramlamayı öğretmek ve vektör çizimleri eklemek amacıyla, işlemlerini Python koduna çevirir. LibreLogo talimatlarını yürütme yeteneğine sahip olarak, bir saldırgan herhangi bir Python kodunu çalıştırabilir Mevcut kullanıcı oturumu bağlamında, LibreLogo'da sağlanan "çalıştır" komutunu kullanarak. Python'dan system () kullanarak sırayla rastgele sistem komutları çağırabilirsiniz.
Bu hatayı bildiren kişinin açıkladığı gibi:
LibreOffice ile gönderilen makrolar, en yüksek makro güvenlik ayarlarında bile kullanıcıya sormadan çalışır. Bu nedenle, kodun çalışmasına izin veren bir hata içeren bir LibreOffice sistem makrosu varsa, kullanıcı bir uyarı bile almaz ve kod hemen çalışır.
Karar hakkında
LibreLogo isteğe bağlı bir bileşendir, ancak LibreOffice'de makrolar varsayılan olarak sunulur, LibreLogo'yu aramaya izin vermek ve işlemin onaylanmasını gerektirmez ve uyarı görüntülemez, makrolar için maksimum koruma modu etkinleştirildiğinde bile ("Çok yüksek" seviyenin seçilmesi).
Bir saldırı için, ateşleyen bir olay işleyicisine böyle bir makro ekleyebilirsiniz, örneğin, fareyi belirli bir alanın üzerine getirdiğinizde veya belge üzerinde giriş odağını etkinleştirdiğinizde (onFocus olayı).
Buradaki en büyük sorun, kodun iyi çevrilmemesi ve yalnızca python kodu sağlamasıdır.çünkü komut dosyası kodu genellikle çeviriden sonra aynı kodla sonuçlanır.
Sonuç olarak, bir saldırgan tarafından hazırlanan bir belgeyi açtığınızda, Python kodunun kullanıcıya görünmeyen gizli bir şekilde yürütülmesini sağlayabilirsiniz.
Örneğin, gösterilen yararlanma örneğinde, bir belgeyi uyarı yapmadan açtığınızda, sistem hesaplayıcısı başlar.
Ve olayların istismar edildiği bildirilen ilk hata değil ofisten beri aylar önce 6.1.0-6.1.3.1 sürümlerinde başka bir vaka açıklandı gösterildi ki kod enjeksiyonu bir kullanıcı kötü amaçlı bir URL'nin üzerine geldiğinde Linux ve Windows sürümlerinde mümkündür.
Güvenlik açığından yararlanıldığı zamanki gibi, herhangi bir tür uyarı iletişim kutusu oluşturmadı. Kullanıcı fareyi kötü amaçlı URL'nin üzerine getirir getirmez kod hemen çalışır.
Öte yandan, paket içinde Python kullanımı, paketin herhangi bir kısıtlama veya uyarı olmaksızın keyfi kod yürüttüğü hatalardan yararlanma durumlarını da ortaya çıkardı.
Bununla birlikte, LibreOffice çalışanları, bundan yararlanan birkaç bilinen durum olduğundan, bu bölümü paketin içinde gözden geçirmek için büyük bir görev üstlenirler.
Güvenlik açığı, daha fazla ayrıntı verilmeden düzeltildi bunun hakkında veya güncellemedeki bilgiler hakkında 6.2.5 LibreOffice'den, 1 Temmuz'da yayınlandı, ancak sorunun tamamen çözülmediği (makrolardan yalnızca LibreLogo çağrısı engellendi) ve saldırıyı gerçekleştirecek diğer bazı vektörlerin düzeltilmediği ortaya çıktı.
Ayrıca kurumsal kullanıcılar için önerilen 6.1.6 sürümünde sorun çözülmemiştir. Önümüzdeki hafta beklenen LibreOffice 6.3 sürümünde güvenlik açığını tamamen ortadan kaldırmak planlanıyor.
Tam bir güncelleme yayınlanmadan önce, kullanıcıların birçok pakette varsayılan olarak bulunan LibreLogo bileşenini açıkça devre dışı bırakmaları tavsiye edilir. Debian, Fedora, SUSE / openSUSE ve Ubuntu'daki güvenlik açığı kısmen düzeltildi.
kaynak: https://insinuator.net/