LibreOffice and OpenOffice Flaws Let Malicious Spreadsheets Run Code Without Macro Warnings
The Hacker News · 6 oct, 13:57
Qué hacer: Actualiza LibreOffice a versión 26.2.5 o 26.8.0 o posterior; en Apache OpenOffice, desactiva Java en los ajustes o espera al parche 4.1.17.
Se han descubierto vulnerabilidades en LibreOffice y Apache OpenOffice que permiten ejecutar código malicioso desde hojas de cálculo sin mostrar advertencias de macros. El ataque solo funciona con Java habilitado y ya se ha demostrado como prueba de concepto, pero no hay reportes de explotación activa. LibreOffice ha lanzado parches (versiones 26.2.5 y 26.8.0), mientras que OpenOffice sigue sin corregir el fallo.
El ataque explota características normales de ambos programas combinadas de forma maliciosa. Una hoja de cálculo puede contener un rango de base de datos que obtiene datos de una fuente externa especificada por una dirección web. Cuando se abre el archivo, el rango se actualiza y el programa descarga un fichero ODB desde esa dirección. Este fichero ODB puede especificar un controlador de base de datos JDBC (Java Database Connectivity) y apuntar a un JAR remoto con el código del ataque. El programa descarga e ejecuta el JAR como código Java sin avisar al usuario, a diferencia de lo que hace con las macros.
La vulnerabilidad se identificó independientemente: Rick de Jager (V12), Thomas Rinsma y Edoardo Geraci (Codean Labs) reportaron el fallo en LibreOffice, y Codean Labs en Apache OpenOffice. El equipo V12 ha publicado una prueba de concepto. El ataque se probó en Windows y Linux, y en el PoC simplemente abre la aplicación Calculadora, pero podría ejecutar cualquier código Java.
Puntos clave
- LibreOffice: actualiza a versión 26.2.5 o 26.8.0 o posterior
- Apache OpenOffice: vulnerable hasta versión 4.1.16; parche esperado en 4.1.17
- Requisito: Java debe estar habilitado en la aplicación
- Mitigation: desactiva Java en los ajustes de OpenOffice o no abras hojas de cálculo de fuentes no confiables
- Sin explotación activa reportada, solo prueba de concepto
Figuras de la fuente
