LibreOffice代码执行缝隙安全公告

颁布功夫 2019-07-29

◆ 缝隙编号和级别


CVE编号：CVE-2019-9848，，，危险级别：高危，，，CVSS分值：官方未评定


◆ 影响版本


受影响的版本


LibreOffice 6.2.5及之前版本


◆ 缝隙概述


LibreOffice是由The Document Foundation开发的MS Office的开源办公套件代替品，，，与.doc，，，.docx，，，.xls，，，.xlsx，，，.ppt，，，.pptx文件兼容并支持所有操作系统平台。。


钻研人员在LibreOffice中发现了一个代码执行缝隙，，，该缝隙允许攻击者静默执行肆意python号令，，，而不会发出忠告以利用易受攻击的系统。。


默认情况下，，，LibreOffice随附LibreLogo（Python诠释器），，，这是一个宏可编程移动乌龟矢量图形来执行自界说剧本代码，，，内部转换python代码并执行。。关键谬误正好存在于LibreLogo中，，，其中代码不能很好地翻译，，，只是提供python代码，，，由于剧本代码时时在翻译后天生一样的代码。。


LibreOffice修补了此缝隙，，，但在Twitter上有一个名叫Alex的钻研员宣称他成功绕过了LibreOffice 6.2.5中CVE-2019-9848的修复法式。。


◆ 缝隙验证


POC：https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-execution-vulnerability-cve-2019-9848/。。


◆ 修复建议


由于Alex汇报了新谬误，，，LibreOffice团队仍在致力修复缝隙，，，目前建议在当前版本的LibreOffice中禁用LibreLogo组件。。


◆ 参考链接


https://gbhackers.com/libreoffice/