Zranitelnost v LibreOffice a OpenOffice umožňuje spuštění libovolného kódu

Zranitelnost CVE-2018-16858 odhalená v kancelářských balících LibreOffice a OpenOffice umožňuje spuštění libovolného kódu při otevření upraveného ODT dokumentu. Součástí balíků je totiž také Python interpreter se sadou knihoven, které zranitelnost využívá, neboť jedné z nich lze předat upravené parametry, které se spustí z příkazové řádky. Ukázka na YouTube. Zranitelnost je opravena v LibreOffice verze 6.0.7 a 6.1.3. Pro OpenOffice zatím oprava není [CSIRT.CZ].

6.2.2019 12:44 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[pushkin]

Tzn.: LibreOffice už to má opravené několik měsíců (aktuální verze je 6.1.4, dostupná je 6.2.0 RC3), zatímco OpenOffice se při svém tempu vývoje opravy nikdy nedočká.

[Petr Tomášek]

Hm, stejně to nechápu, jak se může cokoliv v textovém dokumentu automaticky spouštět při načtení.

To jako tu budeme za chvíli mít CVE na Emacs, že se automaticky spustí kód z otevřeného textového souboru, jenom proto, že Emacs umí Lisp?

Něco je v LibreOffice hodně špatně...

[pushkin]

To je jednoduché - šlo o vnořené makro. Celý postup je zde. Není to tak, že by někdo otevřel ODT, ve kterém má napsaný úryvek zdrojáku, ale otevře ODT s makrem, které se po otevření automaticky spustí. To je mimo jiné důvod, proč LibreOffice i MS Office při otevírání dokumentů upozorňují na to, že dokument obsahuje makra.

V tomto případě ale selhaly dva mechanizmy - první, upozornění na makra, a druhý, který by zabránil jiné aplikace. Možná by bylo zajímavé zkusit MS Office, jestli by se zachovaly obdobně

[Petr Tomášek]

Pořád nechápu, proč by textový dokument měl obsahovat takové čurákoviny...

[skunkOS]

Možná pro to, že to není textový dokument.

[Petr Tomášek]

Co by to bylo jinýho?

[k3dAR]

"ZIP-compressed XML-based file format"? viz

[Conscript89]

Treba obrazek s kocickou. No jeste rekni ze nemas rad kocicky.

[666]

protoze ne kazdy pouziva textový procesor jenom na takove curakoviny jako je seznam na nedelni nakup...

[Bubak]

No normalne se mi nestava, ze bych s Petrem Tomaskem v necem souhlasil, ale tady se nemuzu nepridat. Co ma takova vec co delat v texto(-sracko, aby byli uspokojeni vsichni)-editoru? Ale pro me za me, v korporatu pouzivam, co mi daji, a na svete se bez techto sracek docela dobre obejdu...

[|🇵🇸]

Protože to není editor, nýbrž procesor, a to nikoliv nutně textu, nýbrž dokumentů, které můžou být interaktivní.

A to ještě není nic proti PowerPointu…

[kralyk z abclinuxu]

Tady stojí za to upozornit, že python interpreter + explicitní spouštění nějakého skriptu není nutná podmínka pro spuštění kódu při otevírání dokumentu. Víceméně jakýkoli program napsaný v C/C++ nebo podobném jazyce čelí nebezpečí, že při parsování víceméně jakéhokoli netriviálního formátu potenciálně spustí kód.

Tady se pravidelně pod zprávičkami o bezpečnostních chybách někdo rozčiluje, že JavaScript je sračka, že Python v dokumentech je "čurákovina" a že bez toho bychom neměli problémy. To je ale naivní názor. Bezpečnost je prostě těžká a stává se, že vzdálené spuštění kódu je možné i jen s nějakým "hloupým" formátem bez skriptů a za přítomnosti ochranných prvků jako NX bit apod.

(Nicméně samozřejmě souhlasim, že ty skripty attack surface zvětšují.)

[Barcelona Cooking Classes]

Tried and True Recipes means easy, elegant recipes and we promise, there are no novels and no life stories before the recipe.  Barcelona Cooking Classes