Um pesquisador de segurança afirmou que foi descoberta uma vulnerabilidade de RCE no LibreOffice. Confira os detalhes dessa ameaça e veja como atualizar.
- Lightning Framework, um novo malware Linux que instala rootkits, backdoors
- Como instalar o gerenciador de tokens Nitrokey-app no Linux via Snap
- Galaxy Z Flip 5 e Fold 5 Recebem Atualização de Segurança de Dezembro
O LibreOffice é uma suíte office desenvolvida pela The Document Foundation. Só que esse pacote é bem mais que isso, o LibreOffice é uma das mais populares suíte de escritório multiplataforma e de código aberto.
E é exatamente por isso, que esse pacote também está sempre recebendo atualizações, até mesmo de segurança, pois isso tamém o torna um alvo pra malware e outras ameaças.
Descoberta uma vulnerabilidade de RCE no LibreOffice
Uma vulnerabilidade de Execução Remota de Código (Remote Code Execution, ou RCE) foi descoberta no LibreOffice para Windows e Linux, e recomenda-se que os usuários atualizem para as versões mais recentes, já que os patches já foram publicados.
Descoberto pelo pesquisador de segurança Alex Inführ, a falha pode ser explorada com apenas um documento ODT malicioso que inclui código para executar uma macro com uma ação de focagem do mouse.
Em uma análise da vulnerabilidade em seu blog, Inführ explica que as versões Windows e Linux do LibreOffice são afetadas, e o exploit foi testado com sucesso na versão 6.1.2.1.
A The Document Foundation reconheceu o bug no CVE-2018-16858, acrescentando que a falha já foi resolvida no LibreOffice 6.0.7 e 6.1.3, então, a instalação de uma versão mais nova deve tecnicamente manter os usuários protegidos.
Sobre a fallha, a TDF disse o seguinte:
“O LibreOffice anterior ao 6.0.7/6.1.3 era vulnerável a um ataque de diretório transversal, onde era possível criar um documento que, quando aberto pelo LibreOffice, executaria um método Python a partir de um script em qualquer arquivo arbitrário local do sistema, especificado em relação ao local de instalação do LibreOffice.”
OpenOffice vulnerável também
Embora a vulnerabilidade já tenha sido resolvida no LibreOffice, parece que outros conjuntos de produtividade do Office também são afetados, incluindo o OpenOffice.
De acordo com a BP, o OpenOffice ainda está sem correção agora, sem o ETA para quando uma correção poderia ser enviada.
O pesquisador de segurança confirma que o OpenOffice 4.1.6 é o único vulnerável a ataques e a empresa-mãe reconheceu o problema, e disse apenas que nenhuma data conhecida de lançamento está disponível ainda.
Sobre isso, o pesquisador disse:
“Confirmei por e-mail que tenho permissão para publicar os detalhes da vulnerabilidade, embora o OpenOffice ainda não esteja corrigido. O OpenOffice não permite passar parâmetros, portanto, meu PoC não funciona, mas o caminho percorrido pode ser abusado para executar um script python de outro local no sistema de arquivos local.”
Portanto, recomenda-se que os usuários atualizem para a versão mais recente do LibreOffice o mais rápido possível, enquanto aqueles que usam o OpenOffice devem tentar ficar longe de documentos provenientes de fontes não confiáveis o máximo possível.
Como instalar ou atualizar o LibreOffice
Para instalar a versão mais recente do LibreOffice nas principais distribuições Linux, use um desses tutoriais:
Como instalar a versão mais recente do LibreOffice no Linux
Como instalar o LibreOffice beta no Linux via Snap
Como instalar a versão mais recente do LibreOffice no Linux via Flatpak
Como instalar a versão mais recente do LibreOffice no Ubuntu via PPA ou SNAP
O que está sendo falado no blog
- Descoberta uma vulnerabilidade de RCE no LibreOffice
- Laptop Linux Darter Pro atualizado já está disponível para venda
- Purism quer ensinar a criar jogos para o smartphone librem 5
- Canonical corrigiu a regressão de Kernel no Ubuntu 18.04 LTS
- Ubuntu 14.04 LTS chega ao fim da vida em 30 de abril de 2019
- Arch Linux 2019.02.01 já está disponível com o kernel Linux 4.20.6
