【误差通告】Apache OpenOffice 10月多个清静误差

宣布时间 2021-10-12



0x00 误差概述

2021年10月11日，，，，，，Apache宣布清静通告，，，，，，果真披露了Apache OpenOffice中的多个清静误差，，，，，，攻击者可以使用这些误差来诱骗署名文档或实验未授权操作。。。。

 

0x01 误差详情

image.png

Apache OpenOffice 和 LibreOffice 都 是OpenOffice.org的衍生产品。。。。Apache openoffice是一款类似于微软MS Office软件和WPS的免费跨平台的办公软件套件；；；LibreOffice办公套件同样是自由开源的，，，，，，但相比OpenOffice增添了许多特色功效。。。。

作为OpenOffice 的一个分支，，，，，，本次披露的3个误差也影响了LibreOffice：

CVE-2021-41830：Apache OpenOffice（高危）

攻击者能够修改已署名的文件和宏，，，，，，使其看起来像是来自受信任的泉源。。。。该误差也影响了LibreOffice，，，，，，追踪为CVE-2021-25633。。。。

CVE-2021-41831：Apache OpenOffice（中危）

攻击者能够修改署名文档的时间戳。。。。该误差也影响了LibreOffice，，，，，，追踪为CVE-2021-25634。。。。

CVE-2021-41832：Apache OpenOffice（中危）

攻击者修改文件使其看起来是由一个受信任的泉源签署的。。。。该误差也影响了LibreOffice，，，，，，追踪为CVE-2021-25635。。。。

 

影响规模

Apache OpenOffice < 4.1.10

 

0x02 处置惩罚建议

现在Apache OpenOffice已经修复了这些误差，，，，，，建议相关用户实时升级更新至Apache OpenOffice 4.1.11版本；；；针对LibreOffice，，，，，，建议升级更新到7.0.5或7.1.1及更高版本。。。。由于这两个应用程序均不提供自动更新，，，，，，建议用户下载最新版本手动更新，，，，，，或者选择完全禁用办公套件上的宏功效以缓解此误差。。。。

下载链接：

Apache OpenOffice：

https://www.openoffice.org/download/

 

LibreOffice：

https://www.libreoffice.org/download/download/

 

0x03 参考链接

http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3Caf529548-6884-590a-1d8f-e66e90bfb7f8@apache.org%3E

https://www.bleepingcomputer.com/news/security/libreoffice-openoffice-bug-allows-hackers-to-spoof-signed-docs/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-41832

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-10-12

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

CVSS：www.first.org

NVD：nvd.nist.gov

 

0x06 关于万利国际官网

关注以下公众号，，，，，，获取更多资讯：

image.png