【误差通告】Apache OpenOffice 10月多个清静误差

宣布时间 2021-10-12



0x00 误差概述

2021年10月11日，，，，，Apache宣布清静通告，，，，，果真披露了Apache OpenOffice中的多个清静误差，，，，，攻击者可以使用这些误差来诱骗署名文档或实验未授权操作 。 。 。

 

0x01 误差详情

image.png

Apache OpenOffice 和 LibreOffice 都 是OpenOffice.org的衍生产品 。 。 。Apache openoffice是一款类似于微软MS Office软件和WPS的免费跨平台的办公软件套件；；；；LibreOffice办公套件同样是自由开源的，，，，，但相比OpenOffice增添了许多特色功效 。 。 。

作为OpenOffice 的一个分支，，，，，本次披露的3个误差也影响了LibreOffice：

CVE-2021-41830：Apache OpenOffice（高危）

攻击者能够修改已署名的文件和宏，，，，，使其看起来像是来自受信任的泉源 。 。 。该误差也影响了LibreOffice，，，，，追踪为CVE-2021-25633 。 。 。

CVE-2021-41831：Apache OpenOffice（中危）

攻击者能够修改署名文档的时间戳 。 。 。该误差也影响了LibreOffice，，，，，追踪为CVE-2021-25634 。 。 。

CVE-2021-41832：Apache OpenOffice（中危）

攻击者修改文件使其看起来是由一个受信任的泉源签署的 。 。 。该误差也影响了LibreOffice，，，，，追踪为CVE-2021-25635 。 。 。

 

影响规模

Apache OpenOffice < 4.1.10

 

0x02 处置惩罚建议

现在Apache OpenOffice已经修复了这些误差，，，，，建议相关用户实时升级更新至Apache OpenOffice 4.1.11版本；；；；针对LibreOffice，，，，，建议升级更新到7.0.5或7.1.1及更高版本 。 。 。由于这两个应用程序均不提供自动更新，，，，，建议用户下载最新版本手动更新，，，，，或者选择完全禁用办公套件上的宏功效以缓解此误差 。 。 。

下载链接：

Apache OpenOffice：

https://www.openoffice.org/download/

 

LibreOffice：

https://www.libreoffice.org/download/download/

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3Caf529548-6884-590a-1d8f-e66e90bfb7f8@apache.org%3E

https://www.bleepingcomputer.com/news/security/libreoffice-openoffice-bug-allows-hackers-to-spoof-signed-docs/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-41832

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-12

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于凯发k8

关注以下公众号，，，，，获取更多资讯：

image.png