La última versión de LibreOffice sigue siendo vulnerable a documentos que dejan caer malware

oficina libre

  • LibreOffice pensó que habían solucionado una vulnerabilidad grave de ejecución de código, pero parece que todavía hay una manera.
  • Un reportero independiente omitió la solución en la última versión de la suite ofimática, por lo que los desarrolladores tendrán que trabajar en una solución rápidamente.
  • Se insta a las personas a instalar LibreOffice excluyendo el componente vulnerable.
  • Recientemente, LibreOffice lanzado 6.2.5, abordando dos vulnerabilidades graves (CVE-2019-9848 y CVE-2019-9849), supuestamente conectando una falla de ejecución de código que podría resultar en una infección de malware después de la apertura de un documento especialmente diseñado. Mientras que los desarrolladores de la popular suite de oficina de código abierto pensaron que habían esquivado esa bala, pero un investigador de seguridad llamado Alex Inführ entró Twitter y anunció que tenía evitó con éxito la solución de CVE-2019-9848 en LibreOffice 6.2.5, la última versión disponible y parcheada.

    Omitió con éxito la solución de CVE-2019-9848 en LibreOffice 6.2.5. Es hora de escribir un nuevo correo electrónico 🙂

    – alex (@insertScript) 26 de julio de 2019

    Obviamente, mientras arreglar algo significa que se aborda una forma conocida de explotar una vulnerabilidad, puede haber otras formas a través de las cuales un atacante podría alcanzar los mismos resultados. Además, siempre existe la posibilidad de que una solución introduzca una nueva forma de explotar el defecto conectado. El Sr. Inführ no ha proporcionado ningún detalle sobre cómo logró eludir la solución de LibreOffice, ya que esto pondría en riesgo la seguridad de más de 200 millones de personas que actualmente utilizan el paquete de productividad de código abierto.

    CVE-2018-9848 se refiere al script de gráficos vectoriales de tortuga programable de LibreOffice, que aparentemente puede manipularse para ejecutar comandos arbitrarios de python. Un atacante puede explotar la función de evento de documento para activar LibreLogo y ejecutar código malicioso que está incrustado en un documento especialmente diseñado. A partir de ahí, los comandos de Python se ejecutan en silencio y sin que el usuario reciba ninguna advertencia o se le solicite su permiso. Al aceptar que la falla no se ha solucionado incluso en la última versión, afecta la versión actual y todas las versiones anteriores de la suite ofimática.

    Si ese es el caso, ¿qué pueden hacer las personas al respecto? Hasta que LibreOffice publique una nueva solución que aborde el método de omisión de Inführ, podemos instalar la suite excluyendo el componente "LibreLogo". Puede seleccionar qué componentes desea instalar seleccionando la instalación "personalizada", expanda la lista de "componentes opcionales" y luego haga clic en el icono del disco para anular la selección del componente "LibreLogo". Si ya tiene instalado LibreOffice en su computadora, puede volver a ejecutar el instalador y elegir la opción "modificar" como se ve a continuación.

    libre_office_modify "width =" 531 "height =" 407 "data-srcset =" https://www.todotech20.com/wp-content/uploads/2019/07/1564261903_920_La-ultima-version-de-LibreOffice-sigue-siendo-vulnerable-a-documentos.png 531w, https: //cdn.technadu. com / wp-content / uploads / 2019/07 / libre_office_modify-300x230.png 300w, https://cdn.technadu.com/wp-content/uploads/2019/07/libre_office_modify-200x153.png 200w, https: // cdn.technadu.com/wp-content/uploads/2019/07/libre_office_modify-80x60.png 80w "tamaños =" (ancho máximo: 531px) 100vw, 531px libre_office_component "width =" 539 "height =" 402 "data-srcset =" https://www.todotech20.com/wp-content/uploads/2019/07/1564261905_996_La-ultima-version-de-LibreOffice-sigue-siendo-vulnerable-a-documentos.png 539w, https://cdn.technadu.com/wp-content/uploads/2019/07/libre_office_component-1-300x224.png 300w, https://cdn.technadu.com/wp-content/uploads/2019/07/libre_office_component-1-200x149.png 200w, https://cdn.technadu.com/wp-content/uploads/2019/07/libre_office_component-1-80x60.png 80w "tamaños =" (ancho máximo: 539px) 100vw, 539px

    Todavía no se conocen casos de explotación basados ​​en la vulnerabilidad mencionada, y la próxima corrección proactiva demuestra que el software de código abierto como LibreOffice todavía cuenta con el respaldo adecuado de una comunidad vívida de evaluadores y reporteros. Con Microsoft Office contando 1.2 mil millones de usuarios, sigue siendo el objetivo número uno para los actores maliciosos en este momento, pero a medida que crece la base de usuarios de LibreOffice, recibirá una atención igualmente creciente de los piratas informáticos.

    ¿Está utilizando LibreOffice o todavía prefiere otra suite ofimática? Háganos saber cuál es su elección en los comentarios a continuación y ayúdenos a difundir la advertencia al compartir esta publicación a través de nuestras redes sociales, en Facebook y Twitter.