为了节省成本,有些企业会采用开放源码的办公室生产力软件,若有安全漏洞,势必影响前端用户,甚至服务器访问文件的安全性。1月7日文件基金会(The Document Foundation)发布安全公告,指出他们在去年底发布的24.8.4版开源办公室组件LibreOffice其中,修补两项安全弱点CVE-2024-12426、CVE-2024-12425,最近通报这些漏洞的安全企业公布相关细节,指出一旦遭到利用,攻击者就有机会在几乎无需用户互动的情况下进行攻击。

根据文件基金会发布的安全公告,较为危险的是CVE-2024-12426,这项漏洞出现在URL截取功能,能用于渗透任意INI文件的数值及环境变量,CVSS风险为6.7分;另一个漏洞CVE-2024-12425与路径穿越有关,可被用于写入任意TTF文件,风险评分为2.4。

乍看之下,这些漏洞危险程度不高,但通报漏洞的安全企业Codean Labs指出,这些漏洞都与LibreOffice加载文件文件的过程有关,过程中无需用户互动,无论是用户打开攻击者提供的恶意文件,或是服务器以无头模式(headless)执行LibreOffice转换文件,都会触发上述弱点。

究竟这些漏洞带来的危害是什么?Codean Labs安全研究员Thomas Rinsma指出,若是企业组织的服务器遭到利用攻击,由于这些弱点能让攻击者有机会读取及写入服务器的文件系统,有可能导致服务器完全被渗透。

而对于一般的用户来说,攻击者有机会利用钓鱼邮件窃取或重置特定的Token,而能在针对特定目标的情况下用于进一步攻击。