Τα κακόβουλα έγγραφα μπορούν να λεηλατήσουν το OpenOffice Apache

Περίληψη:

1. Ανοιχτό γραφείο.Το λογισμικό org ενδέχεται να διατρέχει μεγαλύτερο κίνδυνο από ιούς υπολογιστών από το MS Office.

2. Οι ερευνητές του Γαλλικού Υπουργείου Άμυνας βρήκαν πολλά τρωτά σημεία στο OpenOffice.org.

3. Οι ιοί απόδειξης της ιδέας δημιουργήθηκαν για να δείξουν πώς οι μακροεντολές και τα πρότυπα θα μπορούσαν να συμβιβαστούν συστήματα.

4. Ανοιχτό γραφείο.Το org δεν εκτελεί επαρκείς ελέγχους ασφαλείας στο λογισμικό που εκτελεί.

5. Η ευελιξία της σουίτας του ελεύθερου γραφείου επιτρέπει πολλούς τρόπους δημιουργίας κακόβουλων μακροεντολών.

6. Το Σώμα Σήματος της Γαλλικής Υπουργείου Άμυνας διεξήγαγε την έρευνα και θα δημοσιεύσει μια έκθεση σε ένα ακαδημαϊκό περιοδικό.

7. Το openoffice.Η ομάδα org έχει διορθώσει ένα σφάλμα λογισμικού που αναφέρθηκε από τους ερευνητές.

8. Ανοιχτό γραφείο.Το Org έχει επιδιορθώσει άλλα τρωτά σημεία και οι χρήστες συμβουλεύονται να αναβαθμιστούν στην τελευταία έκδοση.

9. Τα τρωτά σημεία ασφαλείας στο OpenOffice.org θεωρούνται ανησυχία για το έργο ανοιχτού κώδικα.

10. Οι εφαρμογές γραφείου της Microsoft έχουν επίσης στοχεύσει οι επιτιθέμενοι μέσω κακοποιημένων κωδικοποιημένων εγγράφων.

Ερωτήσεις:

1. Είναι openoffice.org πιο ευάλωτες σε ιούς υπολογιστών από το MS Office?

Ναι, σύμφωνα με τους ερευνητές του Γαλλικού Υπουργείου Άμυνας, OpenOffice.Το org θεωρείται τουλάχιστον τόσο ευάλωτο όσο το MS Office, αν όχι περισσότερο.

2. Πώς οι ερευνητές δημιούργησαν ιούς απόδειξης ιδεών?

Οι ερευνητές δημιούργησαν κακόβουλες μακροεντολές και πρότυπα για να αποδείξουν πώς τα συστήματα λειτουργούν OpenOffice.org θα μπορούσε να διακυβευτεί.

3. Τι είναι ένα από τα κύρια ελαττώματα σχεδιασμού του OpenOffice.org?

Ανοιχτό γραφείο.Το Org δεν εκτελεί επαρκείς ελέγχους ασφαλείας στο λογισμικό που εκτελεί, το οποίο το αφήνει ανοιχτό σε πιθανές επιθέσεις κακόβουλου λογισμικού.

4. Πώς η ακραία ευελιξία του OpenOffice.Το org συμβάλλει στα τρωτά σημεία της ασφάλειας?

Η ευελιξία της σουίτας ελεύθερου γραφείου επιτρέπει διάφορους τρόπους δημιουργίας κακόβουλων μακροεντολών, οι οποίες μπορούν να οδηγήσουν σε συμβιβαστικά συστήματα που εκτελούν το λογισμικό.

5. Τι βήματα έχει το openoffice.org ομάδα που αναλήφθηκε για την αντιμετώπιση των αναφερόμενων τρωτών σημείων?

Η ομάδα έχει διορθώσει ένα σφάλμα λογισμικού που ανέφερε οι Γάλλοι ερευνητές και βρίσκεται σε συζητήσεις μαζί τους για να βελτιώσουν τη συνολική ασφάλεια του λογισμικού. Έχουν επίσης κυκλοφορήσει μπαλώματα για άλλα τρωτά σημεία και συμβουλεύουν τους χρήστες να αναβαθμίσουν την τελευταία έκδοση.

6. Πώς είναι τα τρωτά σημεία ασφαλείας στο OpenOffice.org που παρατηρήθηκε σε σύγκριση με τις εφαρμογές γραφείου της Microsoft?

Τα τρωτά σημεία του OpenOffice.Τα org θεωρούνται ανησυχία για το έργο ανοιχτού κώδικα και προτείνεται ότι η ασφάλεια των εγγράφων OpenOffice δεν έχει λάβει το ίδιο επίπεδο προσοχής με τα έγγραφα γραφείου της Microsoft.

7. Οι επιτιθέμενοι στοχεύουν τις εφαρμογές γραφείου της Microsoft με κακοποιημένα κωδικοποιημένα έγγραφα?

Ναι, οι επιτιθέμενοι έχουν εκμεταλλευτεί σφάλματα στις εφαρμογές γραφείου της Microsoft και έστειλαν κακικά κωδικοποιημένα έγγραφα Word, Excel και PowerPoint μέσω ηλεκτρονικού ταχυδρομείου σε στοχευμένα θύματα.

8. Τι είδους ευπάθεια ανακαλύφθηκε στο Apache OpenOffice?

Μια ευπάθεια απομακρυσμένου κώδικα (RCE) ανακαλύφθηκε στο Apache OpenOffice, το οποίο μπορεί να αξιοποιηθεί μέσω ενός κακόβουλου αρχείου για την εκτέλεση κακόβουλου λογισμικού στο μηχάνημα.

9. Είναι η ευπάθεια στο apache openoffice που έχει ήδη διορθωθεί?

Ο πηγαίος κώδικας του Apache OpenOffice έχει ενημερωθεί, αλλά η επιδιόρθωση είναι επί του παρόντος διαθέσιμη μόνο ως λογισμικό Beta. Η επίσημη κυκλοφορία με το έμπλαστρο αναμένεται να κυκλοφορήσει σύντομα.

10. Πώς ο ερευνητής Eugene Lim ανακάλυψε την ευπάθεια στο OpenOffice?

Ο Eugene Lim επικεντρώθηκε σε μορφές αρχείων και βρήκε το σφάλμα εκτέλεσης απομακρυσμένου κώδικα στη μορφή αρχείου DBASE (DBF), το οποίο εξακολουθεί να χρησιμοποιείται από σύγχρονες εφαρμογές όπως το Microsoft Office, το LibreOffice και το Apache OpenOffice.

11. Γιατί η ευπάθεια δεν ανακαλύφθηκε νωρίτερα?

Το LIM ερωτήσεις γιατί η ευπάθεια στο OpenOffice δεν ανακαλύφθηκε νωρίτερα, δεδομένου ότι είναι ένα πρόγραμμα ανοιχτού κώδικα που θα είχε υποβληθεί σε αυτοματοποιημένες σαρώσεις από αναλυτές στατικών κώδικα. Παραμένει ασαφές γιατί το σφάλμα δεν εντοπίστηκε.

12. Ποια μέτρα λαμβάνονται για την αντιμετώπιση της ευπάθειας στο Apache OpenOffice?

Η επιτροπή διαχείρισης έργων AOO εργάζεται για την απελευθέρωση μιας νέας έκδοσης, Apache OpenOffice 4.1.11, που περιλαμβάνει το απαραίτητο έμπλαστρο για την ευπάθεια.

13. Ποια είναι η ανησυχία σχετικά με την ευρεία χρήση του Apache OpenOffice?

Με εκατοντάδες εκατομμύρια λήψεις, η ευρεία χρήση του Apache OpenOffice αφήνει μεγάλο αριθμό χρηστών ευάλωτη στην απομακρυσμένη ευπάθεια εκτέλεσης κώδικα.

14. Ποιο άλλο λογισμικό εκτός από το Apache OpenOffice είναι ευαίσθητο στην ευπάθεια εκτέλεσης του απομακρυσμένου κώδικα?

Η ευπάθεια εκτέλεσης του απομακρυσμένου κώδικα στη μορφή αρχείου DBASE (DBF) επηρεάζει άλλο λογισμικό, συμπεριλαμβανομένου του Microsoft Office και του LibreOffice.

15. Είναι ο Eugene Lim ένας έμπειρος ερευνητής ευπάθειας?

Όχι, ο Eugene Lim είναι νέος στην έρευνα ευπάθειας και έκανε την ανακάλυψη της ευπάθειας εκτέλεσης του απομακρυσμένου κώδικα στο Apache OpenOffice.

Τα κακόβουλα έγγραφα μπορούν να λεηλατήσουν το OpenOffice Apache

“Αυτό ζήτησε την ερώτηση: Γιατί κανείς δεν ανακάλυψε αυτό το σφάλμα νωρίτερα? Ως πρόγραμμα ανοιχτού κώδικα, το OpenOffice θα είχε αναμφισβήτητα σαρωθεί αυτόματα από διάφορους αναλυτές στατικών κώδικα, οι οποίοι θα είχαν πάρει εύκολα το μη ασφαλές MEMCPY,” γράφει ο Λιμ.

Είναι το OpenOffice ένας μεγαλύτερος κίνδυνος ασφαλείας από το MS Office?

Αν και η Microsoft Corp.Το Office Suite στοχεύει τώρα οι χάκερ, ερευνητές στο Γαλλικό Υπουργείο Άμυνας λένε ότι οι χρήστες του OpenOffice.Το λογισμικό org ενδέχεται να διατρέχει ακόμη μεγαλύτερο κίνδυνο από ιούς υπολογιστών.

“Η γενική ασφάλεια του OpenOffice είναι ανεπαρκής”, έγραψαν οι ερευνητές σε ένα έγγραφο με τίτλο “Σε βάθος ανάλυση των ιογενών απειλών με OpenOffice.org έγγραφα.«

“Αυτή η σουίτα είναι μέχρι τώρα ακόμα ευάλωτη σε πολλές πιθανές επιθέσεις κακόβουλου λογισμικού”, έγραψαν.

Το έγγραφο περιγράφει τέσσερις ιούς απόδειξης της ιδέας που απεικονίζουν τον τρόπο με τον οποίο θα μπορούσαν να δημιουργηθούν μακροεντολές και πρότυπα που έχουν κωδικοποιηθεί κακό. “Ο ιικός κίνδυνος που συνδέεται με το OpenOffice.Το org είναι τουλάχιστον τόσο υψηλό όσο αυτό για τη σουίτα Microsoft Office, και ακόμη υψηλότερα όταν εξετάζουμε μερικά . πτυχές, “έγραψαν.

Η έκθεση γράφτηκε από ερευνητές στο Σώμα Σήματος της Γαλλικής Υπουργείου Άμυνας και πρόκειται να δημοσιευθεί στο Εφημερίδα στην Υπολογιστική Ιολογία, Ένα ακαδημαϊκό περιοδικό με έδρα το Παρίσι για επιστήμονες υπολογιστών.

Ορισμένα από τα προβλήματα που περιγράφονται στην αναφορά σχετίζονται με το βασικό σχεδιασμό του λογισμικού. Για παράδειγμα, openoffice.Το Org δεν εκτελεί επαρκείς ελέγχους ασφαλείας στο λογισμικό που εκτελεί, ανέφεραν οι ερευνητές. Και λόγω της ακραίας ευελιξίας της σουίτας του ελεύθερου γραφείου, υπάρχουν πολλοί τρόποι για τους συγγραφείς να δημιουργήσουν κακόβουλες μακροεντολές, βρήκαν οι ερευνητές.

Το openoffice.Η Org Team έχει ήδη διορθώσει ένα σφάλμα λογισμικού που ανακαλύφθηκε από τους Γάλλους ερευνητές και οι δύο ομάδες είναι σε συζητήσεις σχετικά με τον τρόπο βελτίωσης της συνολικής ασφάλειας του λογισμικού, δήλωσε ο Louis Suarez-Potts, OpenOffice.Org Community Manager.

“Το ένα πραγματικό ελάττωμα στη λογική προγραμματισμού έχει καθοριστεί”, δήλωσε ο Suarez-Potts. “Οι άλλοι είναι θεωρητικοί.«

Ανοιχτό γραφείο.Η Org έχει επιδιορθώσει μια σειρά από τρωτά σημεία τις τελευταίες εβδομάδες και ο Suarez-Potts δήλωσε ότι οι χρήστες θα πρέπει να αναβαθμίσουν την τελευταία έκδοση.

Αυτά τα τελευταία σφάλματα δείχνουν ότι το έργο ανοιχτού κώδικα έχει κάποια εργασία ασφαλείας μπροστά του, δήλωσε ο Russ Cooper, ανώτερος αναλυτής ασφάλειας πληροφοριών στο Cybertrust Inc. “Εάν αυτοί οι τύποι τρωτών σημείων είχαν ανακαλυφθεί στο Microsoft Office, θα ήταν νέα στην πρώτη σελίδα”, είπε. “Όποιος έκανε την ασφάλεια για το OpenOffice αγνόησε εντελώς τι έχει περάσει η Microsoft με την ασφάλεια των δικών τους εγγράφων γραφείου.«

Οι επιτιθέμενοι έχουν εκμεταλλευτεί διάφορα σφάλματα στις εφαρμογές γραφείου της Microsoft αργά, στέλνοντας κακικά κωδικοποιημένα έγγραφα Word, Excel και PowerPoint μέσω ηλεκτρονικού ταχυδρομείου σε μικρό αριθμό θυμάτων σε εξαιρετικά στοχοθετημένες επιθέσεις. Την Τρίτη, η Microsoft έβαλε τα τελευταία τέτοια ελαττώματα, τα οποία σχετίζονταν με το PowerPoint.

Ο ερευνητής του Corps Eric Filiol έχει επίσης συζητήσει μερικά από τα OpenOffice της ομάδας.org ευρήματα κατά τη διάρκεια μιας παρουσίασης διάσκεψης. Οι διαφάνειες παρουσίασης είναι διαθέσιμες στο διαδίκτυο (λήψη PDF).

Ο Filiol αρνήθηκε να πάρει συνέντευξη για αυτήν την ιστορία.

Ο Peter Sayer στο Παρίσι συνέβαλε στην έκθεση αυτή.

• Κακόβουλο λογισμικό
• Ανοιχτή πηγή
• Μικρές και μεσαίες επιχειρήσεις

Copyright © 2006 IDG Communications, Inc.

Τα κακόβουλα έγγραφα μπορούν να λεηλατήσουν το OpenOffice Apache

Κυβερνασφάλεια (Ανοίγει σε νέα καρτέλα) Οι ερευνητές έχουν ανακαλύψει μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα (RCE) στο Apache OpenOffice (AOO) (ανοίγει σε νέα καρτέλα), η οποία μπορεί να καταχραστεί μέσω ενός κακόβουλου αρχείου για εκτέλεση κακόβουλο λογισμικό (ανοίγει σε νέα καρτέλα) στο μηχάνημα.

Η ευπάθεια που παρακολουθείται ως CVE-2021-33035 επισημάνθηκε από τον Eugene Lim στο online συνέδριο Hackerone, ο οποίος μόλις άρχισε να εισάγεται στην έρευνα ευπάθειας.

Aoo isn’t όπως χρησιμοποιείται ευρέως ως το άλλο ανοιχτή πηγή (Ανοίγει σε νέα καρτέλα) Δωρούν, Λιδίζω (Ανοίγει σε νέα καρτέλα) και είχε την τελευταία επίσημη κυκλοφορία του τον Μάιο. Ακόμα, η σουίτα γραφείου έχει χρονολογήσει εκατοντάδες εκατομμύρια λήψεις, αφήνοντας σχεδόν όλους τους χρήστες ευάλωτους.

• Εδώ’είναι η συνδρομή μας του Οι καλύτεροι φορητοί υπολογιστές για προγραμματισμό (ανοίγει σε νέα καρτέλα)
• Ελέγξτε τη λίστα αυτών των καλύτερων μαθημάτων Python (ανοίγει σε νέα καρτέλα)
• Ξεκινήστε το ταξίδι ανάπτυξης ιστού σας με αυτά Καλύτερα μαθήματα HTML (ανοίγει σε νέα καρτέλα)

Είναι ενδιαφέρον, ενώ ο πηγαίος κώδικας της εφαρμογής έχει ενημερωθεί, Το μητρώο αναφέρει ότι η λύση έχει διατεθεί μόνο ως λογισμικό beta.

“Προσπαθούμε να κυλήσουμε την απελευθέρωση για το Apache OpenOffice 4.1.11 εντός του μήνα, ελπίζουμε νωρίτερα, και να δημοσιεύσει το CVE-2021-33035 πριν από την απελευθέρωση “, δήλωσε ο Dave Fisher, εξ ονόματος της επιτροπής διαχείρισης έργων AOO (PMC), σε δήλωση προς Το μητρώο.

Διαφυγή ελέγχου

Αντί να επικεντρώνεται σε ένα συγκεκριμένο λογισμικό, ο Lim ενημερώθηκε για να κατευθύνει την προσοχή του σε μορφές αρχείων. Μια γρήγορη αναζήτηση τον οδήγησε στη μορφή αρχείου βάσης δεδομένων DBASE (DBF), η οποία δημιουργήθηκε πριν από τέσσερις δεκαετίες, αλλά εξακολουθεί να χρησιμοποιείται ως μηχανισμός αποθήκευσης δεδομένων από σύγχρονες εφαρμογές όπως το Microsoft Office, το LibreOffice και το AOO.

Σε ένα τεχνικό ιστολόγιο (Ανοίγει σε νέα καρτέλα) Κοινή χρήση λεπτομερειών σχετικά με την ευπάθεια, ο Lim εξηγεί πώς ήταν σε θέση να βρει το σφάλμα RCE στο DBF χωρίς υπερβολική προσπάθεια.

“Αυτό ζήτησε την ερώτηση: Γιατί κανείς δεν ανακάλυψε αυτό το σφάλμα νωρίτερα? Ως πρόγραμμα ανοιχτού κώδικα, το OpenOffice θα είχε αναμφισβήτητα σαρωθεί αυτόματα από διάφορους αναλυτές στατικών κώδικα, οι οποίοι θα είχαν πάρει εύκολα το μη ασφαλές MEMCPY,” γράφει ο Λιμ.

Μια μικρή έρευνα τον οδήγησε στην πλατφόρμα ανάλυσης κώδικα που εκτελεί δοκιμές σε έργα ανοιχτού κώδικα, τα οποία έχουν επισημάνει το AOO ως Πύθων (ανοίγει σε νέα καρτέλα) και Javascript (ανοίγει σε νέα καρτέλα), και όχι ως C ++, που οδηγεί στον σαρωτή που λείπει η ευπάθεια.

“Αυτό καταδεικνύει τη σημασία των αυτοματοποιημένων εργαλείων στατικής ανάλυσης ελέγχου της λογικής. Εάν τα εργαλεία σας Don’να γνωρίζουμε ότι υπάρχει ο κώδικας, μπορεί’να βρείτε αυτά τα τρωτά σημεία,” εξηγεί το lim.

• Αυτά είναι τα Καλύτερα μαθήματα JavaScript (Ανοίγει σε νέα καρτέλα) Διατίθεται αυτή τη στιγμή

Είσαι επαγγελματίας? Εγγραφείτε στο ενημερωτικό δελτίο μας

Εγγραφείτε στο ενημερωτικό δελτίο TechRadar Pro για να αποκτήσετε όλα τα κορυφαία νέα, γνώμη, χαρακτηριστικά και καθοδήγηση που χρειάζεται η επιχείρησή σας για να πετύχει!

Υποβάλλοντας τα στοιχεία σας, συμφωνείτε με τους όρους και τις προϋποθέσεις (ανοίγει σε νέα καρτέλα) και την Πολιτική Προστασίας Προσωπικών Δεδομένων (ανοίγει σε νέα καρτέλα) και είναι ηλικίας 16 ετών και άνω.

Με σχεδόν δύο δεκαετίες γραφής και αναφοράς στο Linux, ο Mayank Sharma θα ήθελε όλοι να πιστεύουν ότι αυτός’μικρό Techradar pro’μικρό ειδικός στο θέμα. Φυσικά, αυτός’s όπως ενδιαφέρεται για άλλα υπολογιστικά θέματα, ιδιαίτερα στον κυβερνοχώρο, το σύννεφο, τα δοχεία και την κωδικοποίηση.