LibreOffice代码执行缝隙安全公告

颁布功夫 2019-07-29

◆ 缝隙编号和级别


CVE编号：CVE-2019-9848，，，， ，，，，危险级别：高危，，，， ，，，，CVSS分值：官方未评定


◆ 影响版本


受影响的版本


LibreOffice 6.2.5及之前版本


◆ 缝隙概述


LibreOffice是由The Document Foundation开发的MS Office的开源办公套件代替品，，，， ，，，，与.doc，，，， ，，，，.docx，，，， ，，，，.xls，，，， ，，，，.xlsx，，，， ，，，，.ppt，，，， ，，，，.pptx文件兼容并支持所有操作系统平台。。。。 。。。。


钻研人员在LibreOffice中发现了一个代码执行缝隙，，，， ，，，，该缝隙允许攻击者静默执行肆意python号令，，，， ，，，，而不会发出忠告以利用易受攻击的系统。。。。 。。。。


默认情况下，，，， ，，，，LibreOffice随附LibreLogo（Python诠释器），，，， ，，，，这是一个宏可编程移动乌龟矢量图形来执行自界说剧本代码，，，， ，，，，内部转换python代码并执行。。。。 。。。。关键谬误正好存在于LibreLogo中，，，， ，，，，其中代码不能很好地翻译，，，， ，，，，只是提供python代码，，，， ，，，，由于剧本代码时时在翻译后天生一样的代码。。。。 。。。。


LibreOffice建补了此缝隙，，，， ，，，，但在Twitter上有一个名叫Alex的钻研员宣称他成功绕过了LibreOffice 6.2.5中CVE-2019-9848的建复法式。。。。 。。。。


◆ 缝隙验证


POC：https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-execution-vulnerability-cve-2019-9848/。。。。 。。。。


◆ 建复建议


由于Alex汇报了新谬误，，，， ，，，，LibreOffice团队仍在致力建复缝隙，，，， ，，，，目前建议在当前版本的LibreOffice中禁用LibreLogo组件。。。。 。。。。


◆ 参考链接


https://gbhackers.com/libreoffice/