Regularne aktualizowanie systemu operacyjnego i wszystkich zainstalowanych aplikacji jest szalenie istotne dla zachowania bezpieczeństwa systemu i uniemożliwienia atakującemu kradzieży danych. Można było się o tym przekonać przy okazji wielu ataków, które miały miejsce w przeszłości – przykładowo WannaCry wykorzystał lukę, która pozwoliła oprogramowaniu typu ransomware zaszyfrować cały dysk ofiary. Dzisiejszy wpis również pokazuje, jak stosunkowo niewinny błąd może narazić prywatność użytkownika.
Jeżeli korzystacie z pakietu biurowego LibreOffice to powinniście jak najszybciej go zaktualizować, gdyż wykryto podatność[1], która pozwala na odczyt plików z dysku ofiary. Nie potrzeba tutaj wielu przygotowań. Wystarczy, że ofiara otworzy odpowiednio spreparowany dokument.
Badacze przeanalizowali funkcję WEBSERVICE w LibreOffice Calc i odkryli błędy w implementacji tego rozwiązania. Problem polega na braku ograniczeń dla wspomnianej wyżej funkcji, dzięki czemu atakujący może doprowadzić do ujawnienia dowolnych plików odczytywanych przez użytkownika. W normalnych warunkach WEBSERVICE pozwala na uzyskanie danych przez adres URL. Podatne wersje pakietu pozwalają funkcji WEBSERVICE na odczyt pliku lokalnego (np. file://).
Informacja o dziurze została opublikowana na stronie LibreOffice 9 lutego. Rekomendowana jest aktualizacja z wersji 5.4.5 do 6.0.1. Oczywiście należy regularnie sprawdzać dostępność nowych aktualizacji i w razie pojawienia się stosownego komunikatu, nie odkładać tej czynności.
[1] https://www.libreoffice.org/about-us/security/advisories/cve-2018-1055/
