【误差通告】Apache OpenOffice 10月多个清静误差

宣布时间 2021-10-12



0x00 误差概述

2021年10月11日，，，Apache宣布清静通告，，，果真披露了Apache OpenOffice中的多个清静误差，，，攻击者可以使用这些误差来诱骗署名文档或实验未授权操作。 。。

 

0x01 误差详情

image.png

Apache OpenOffice 和 LibreOffice 都 是OpenOffice.org的衍生产品。 。。Apache openoffice是一款类似于微软MS Office软件和WPS的免费跨平台的办公软件套件 ；；；；LibreOffice办公套件同样是自由开源的，，，但相比OpenOffice增添了许多特色功效。 。。

作为OpenOffice 的一个分支，，，本次披露的3个误差也影响了LibreOffice：

CVE-2021-41830：Apache OpenOffice（高危）

攻击者能够修改已署名的文件和宏，，，使其看起来像是来自受信任的泉源。 。。该误差也影响了LibreOffice，，，追踪为CVE-2021-25633。 。。

CVE-2021-41831：Apache OpenOffice（中危）

攻击者能够修改署名文档的时间戳。 。。该误差也影响了LibreOffice，，，追踪为CVE-2021-25634。 。。

CVE-2021-41832：Apache OpenOffice（中危）

攻击者修改文件使其看起来是由一个受信任的泉源签署的。 。。该误差也影响了LibreOffice，，，追踪为CVE-2021-25635。 。。

 

影响规模

Apache OpenOffice < 4.1.10

 

0x02 处置惩罚建议

现在Apache OpenOffice已经修复了这些误差，，，建议相关用户实时升级更新至Apache OpenOffice 4.1.11版本 ；；；；针对LibreOffice，，，建议升级更新到7.0.5或7.1.1及更高版本。 。。由于这两个应用程序均不提供自动更新，，，建议用户下载最新版本手动更新，，，或者选择完全禁用办公套件上的宏功效以缓解此误差。 。。

下载链接：

Apache OpenOffice：

https://www.openoffice.org/download/

 

LibreOffice：

https://www.libreoffice.org/download/download/

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3Caf529548-6884-590a-1d8f-e66e90bfb7f8@apache.org%3E

https://www.bleepingcomputer.com/news/security/libreoffice-openoffice-bug-allows-hackers-to-spoof-signed-docs/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-41832

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-12

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于鉴黑担保网

关注以下公众号，，，获取更多资讯：

image.png