El equipo detrás de LibreOffice ha lanzado actualizaciones de seguridad para corregir tres fallas de seguridad en el software de productividad, una de las cuales podría explotarse para lograr la ejecución de código arbitrario en los sistemas afectados.
rastreado como CVE-2022-26305el problema se ha descrito como un caso de validación de certificado incorrecta al verificar si una macro está firmada por un autor de confianza, lo que lleva a la ejecución de código malicioso empaquetado dentro de las macros.
«Por lo tanto, un adversario podría crear un certificado arbitrario con un número de serie y una cadena de emisor idéntica a un certificado de confianza que LibreOffice presentaría como perteneciente al autor de confianza, lo que podría llevar al usuario a ejecutar código arbitrario contenido en macros de confianza indebida», LibreOffice dijo en un aviso.
También se resuelve el uso de un vector de inicialización estático (IV) durante el cifrado (CVE-2022-26306) que podría haber debilitado la seguridad en caso de que un mal actor tuviera acceso a la información de configuración del usuario.
Por último, las actualizaciones también resuelven CVE-2022-26307en el que la clave maestra estaba mal codificada, lo que hace que las contraseñas almacenadas sean susceptibles a un ataque de fuerza bruta si un adversario está en posesión de la configuración del usuario.
Las tres vulnerabilidades, que fueron informadas por OpenSource Security GmbH en nombre de la Oficina Federal de Seguridad de la Información de Alemania, se han solucionado en las versiones 7.2.7, 7.3.2 y 7.3.3 de LibreOffice.
Los parches llegan cinco meses después de que Document Foundation corrigiera otro error de validación de certificado incorrecto (CVE-2021-25636) en febrero de 2022. En octubre pasado, se corrigieron tres fallas de suplantación de identidad de las que se podía abusar para alterar documentos y hacerlos parecer como si estuvieran firmados digitalmente por una fuente confiable.