LibreOffice 被曝漏洞，打开文档即导致电脑被黑
编译：奇安信代码卫士团队
你在使用 LibreOffice 吗？是的话，要特别注意下次用 LibreOffice 打开的文件类型了。
LibreOffice 是可替代微软 Office 套件的最流行的开源软件之一，适用于 Windows、Linux 和 macOS 系统。LibreOffice被指含有一个严重的未修复代码执行漏洞，可在用户打开恶意构造的文档文件之时在系统中混入恶意软件。
本月初，LibreOffice发布最新版6.2.5，解决了两个严重的漏洞 CVE-2019-9848 和 CVE-2019-9849，但安全研究员 Alex Inführ 声称，第一个漏洞的补丁已遭绕过。CVE-2019-9848 仍然存在于最新版本中，它存在于 LibreLogo 中。LibreLogo 是LibreOffice 默认自带的可编程海龟矢量图形脚本 (programmable turtule vector graphics script)。LibreLogo可使用户指定文档中预装的可在多种事件如鼠标悬停情况下执行的文档。
这个漏洞是由 NilsEmmerich 发现的，可导致攻击者构造一个恶意文档，在不向目标用户展示任何警告信息的情况下静默执行任意 python 命令。Emmerich 表示，“这里的一个大问题是，该代码翻译得并不好，而且仅提供 python 代码作为脚本代码通常导致翻译后仍然是同样的代码。使用表单和 OnFocus 事件，甚至可能在打开文档时执行代码，而无需鼠标悬停事件。”
Emmerich 还在博客文章中发布了 PoC 视频。
CVE-2019-9849可通过安装最新可用更新版本的方式解决，它可导致即使在启用“隐身模式”的情况下在文档中包含远程任意内容。该隐身模式并非默认启用，但用户可激活该模式来指令仅从可信位置检索远程资源。
如何保护系统安全
Inführ 已经问题告知 LibreOffice 团队，但目前补丁尚不存在。在此之前，建议用户更新或重装没有宏的软件，至少不含 LibreLogo 组件，步骤如下：
1、打开设置，开始重装
2、选择“自定义”安装
3、扩展“可选组件”
4、点击“LibreLogo”并选择“此功能不可用”
5、点击“下一步”安装软件
原文链接
https://thehackernews.com/2019/07/libreoffice-vulnerability.html
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。