LibreOffice代码执行缝隙安全公告

颁布功夫 2019-07-29

◆ 缝隙编号和级别


CVE编号：CVE-2019-9848，危险级别：高危，CVSS分值：官方未评定


◆ 影响版本


受影响的版本


LibreOffice 6.2.5及之前版本


◆ 缝隙概述


LibreOffice是由The Document Foundation开发的MS Office的开源办公套件代替品，与.doc，.docx，.xls，.xlsx，.ppt，.pptx文件兼容并支持所有操作系统平台。


钻研人员在LibreOffice中发现了一个代码执行缝隙，该缝隙允许攻击者静默执行肆意python号令，而不会发出忠告以利用易受攻击的系统。


默认情况下，LibreOffice随附LibreLogo（Python诠释器），这是一个宏可编程移动乌龟矢量图形来执行自界说剧本代码，内部转换python代码并执行。关键谬误正好存在于LibreLogo中，其中代码不能很好地翻译，只是提供python代码，由于剧本代码时时在翻译后天生一样的代码。


LibreOffice建补了此缝隙，但在Twitter上有一个名叫Alex的钻研员宣称他成功绕过了LibreOffice 6.2.5中CVE-2019-9848的建复法式。


◆ 缝隙验证


POC：https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-execution-vulnerability-cve-2019-9848/。


◆ 建复建议


由于Alex汇报了新谬误，LibreOffice团队仍在致力建复缝隙，目前建议在当前版本的LibreOffice中禁用LibreLogo组件。


◆ 参考链接


https://gbhackers.com/libreoffice/