Контакты
Подписка 2024
ITSEC 2024
Персональные данные в 2025 году: новые требования и инструменты. 16 октября, Москва, Форум ITSEC 2024
Регистрируйтесь и приходите!

Патч для уязвимости в LibreOffice оказался неэффективным

29/07/19

LibreofficeИсследователь из компании Cure53 Алекс Инфюр (Alex Inführ) сообщил , что патч для недавно исправленной уязвимости в офисном пакете LibreOffice можно обойти. Для выполнения кода на системе злоумышленнику достаточно вынудить жертву открыть вредоносный документ в LibreOffice.

LibreOffice — одна из самых популярных открытых альтернатив пакету Microsoft Office, доступная для систем Windows, Linux и macOS. Ранее разработчики LibreOffice выпустили обновленную версию 6.2.5 программного обеспечения, устраняющую две серьезные уязвимости (CVE-2019-9848 и CVE-2019-9849). Однако, по словам Инфюра, патч для CVE-2019-9848 можно обойти.

Данная уязвимость, обнаруженная исследователем Нильсом Эммерихом (Nils Emmerich), находится в компоненте LibreLogo, входящем в состав LibreOffice. Компонент позволяет использовать различные предустановленные скрипты, привязанные к срабатыванию событий, например, наведению курсора мыши. Эксплуатация данной уязвимости позволяет злоумышленнику создать вредоносный документ, который может незаметно для пользователя выполнять произвольные python-команды. PoC-код для эксплуатации уязвимости был опубликован в блоге Эммериха. По словам исследователя, используя формы и событие OnFocus можно осуществить выполнение кода при открытом документе даже без наведения курсора мыши.

Инфюр уже уведомил разработчиков LibreOffice о проблеме, но не обнародовал подробности о технике обхода патча. В целях безопасности пользователям рекомендуется обновить или переустановить программное обеспечение без макросов либо без компонента LibreLogo.

Темы:УгрозыLibreOffice
Безопасная разработка
Москва | 15 октября 2024 | Доверенные решения для защиты российских ОС на базе Linux и миграции
Регистрируйтесь и приходите на Форум ITSEC 2024
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Защита АСУ ТП и КИИ: готовимся к 2025 году
Обсуждаем на ITSEC 2024!

Еще темы...

More...