Podatności LibreOffice

Podatność typu use-after-free w LibreOffice przed wersją 5.1.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany plik RTF, związana z tokenami stylów i indeksów górnych.

LibreOffice w wersjach przed 5.0.5 umożliwia zdalnym atakującym spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany rekord LwpTocSuperLayout w dokumencie LotusWordPro (lwp).

LibreOffice w wersjach przed 4.3.5 umożliwia zdalnym atakującym spowodowanie odmowy usługi (nieważna operacja zapisu i awaria) oraz potencjalne wykonanie dowolnego kodu za pomocą spreparowanego pliku RTF.

LibreOffice w wersji 4.2.4 automatycznie wykonuje nieokreślone makra VBA, co może prowadzić do nieznanych skutków i wektorów ataku.

LibreOffice przed 2017-03-17 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją ReadJPEG w pliku vcl/source/filter/jpeg/jpegc.cxx.

LibreOffice przed 14 marca 2017 roku zawiera błąd związany z zapisem poza przydzielonym obszarem pamięci w funkcji HWPFile::TagsRead w pliku hwpfile.cxx.

LibreOffice przed 2017-01-02 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją tools::Polygon::Insert w pliku tools/source/generic/poly.cxx.

LibreOffice przed 2017-03-11 zawiera błąd zapisu poza granicami, spowodowany przepełnieniem bufora w stercie w funkcji SVMConverter::ImplConvertFromSVM1.

LibreOffice przed 22 grudnia 2016 roku zawiera błąd pisania poza granicami, spowodowany przepełnieniem bufora w stercie, związany z funkcją EnhWMFReader::ReadEnhWMF w pliku vcl/source/filter/wmf/enhwmf.cxx.

LibreOffice Calc może łączyć zakres komórek z zewnętrznym źródłem danych, a to połączenie jest zapisywane w dokumencie. Dokument może wskazywać sterownik bazy danych Java do załadowania z zdalnej lokalizacji, co przy otwarciu dokumentu może uruchomić kod Java z tej lokalizacji. W naprawionych wersjach wpis w ścieżce klas Java musi być URL-em pliku.

Podatność w LibreOffice umożliwia skonstruowanie adresów URL, które rozwijają wartości zmiennych środowiskowych lub plików INI, co może prowadzić do wycieku wrażliwych informacji na zdalny serwer po otwarciu dokumentu zawierającego takie linki. Poprzednia poprawka dla CVE-2024-12426 nie obejmowała wszystkich miejsc, w których dokument może dostarczyć URL, a dane instancji XForms oraz dostawcy danych CSV i SQL w Calc nadal umożliwiały tę ekspansję. W naprawionych wersjach te miejsca odrzucają URL-e z wewnętrznymi schematami, gdy pochodzą z dokumentu.

LibreOffice może linkować do plików audio i wideo z dokumentu, a na Linuksie odtwarza je przez GStreamer. Złośliwy plik multimedialny może być listą odtwarzania HLS, która powoduje, że GStreamer czyta lokalne pliki i zdalne URL-e wymienione na liście podczas ładowania dokumentu, a ich zawartość może trafić do dokumentu. W naprawionych wersjach LibreOffice nie podąża za listami odtwarzania, które wymieniają dodatkowe zasoby, a linkowane multimedia są kontrolowane przez ustawienia aktualizacji linków.

LibreOffice Calc może linkować zakres komórek do zewnętrznego źródła danych, a link jest zapisywany w dokumencie. Link typu sql może wskazywać na folder lokalnych plików tekstowych jako bazę danych, więc otwarcie dokumentu może odczytać lokalny plik tekstowy do arkusza. W naprawionych wersjach tylko dostawcy danych csv, html i xml są przywracani podczas ładowania dokumentu.

LibreOffice Calc może linkować zakres komórek do zewnętrznego źródła danych csv, a link jest zapisywany w dokumencie. Taki link był pobierany podczas ładowania dokumentu, więc otwarcie dokumentu mogło odczytać lokalny plik do arkusza lub wysłać żądanie do wybranego przez dokument hosta. W naprawionych wersjach zewnętrzne linki danych są aktualizowane pod tą samą kontrolą aktualizacji linków co inne linki w arkuszu.

LibreOffice Calc może linkować zakres komórek do zewnętrznego źródła danych, a link jest zapisywany w dokumencie. Poprzez taki link dokument mógł otworzyć osadzoną bazę danych Firebird, która zapisywała plik w dowolnej lokalizacji, do której użytkownik miał prawo zapisu. W naprawionych wersjach osadzona baza danych Firebird może otwierać lub tworzyć pliki tylko we własnym prywatnym katalogu.

LibreOffice może importować obrazy PICT, które mogą być osadzone w dokumentach. Podczas importu obrazu używającego palety kolorów występuje odczyt poza granicami bufora, ponieważ indeks palety nie jest sprawdzany względem liczby wpisów. W wersjach poprawionych indeks palety jest ograniczany do istniejących wpisów.

W LibreOffice można skonstruować adresy URL, które rozwijają zmienne środowiskowe lub wartości z plików INI, co może prowadzić do eksfiltracji poufnych informacji na zdalny serwer po otwarciu dokumentu zawierającego takie linki. Sprawdzenie dodane dla CVE-2024-12426 nie rozpoznawało wszystkich sposobów nazywania dostawcy treści pakietu, więc adres URL nazywający go inaczej nadal podlegał rozwinięciu. W wersjach poprawionych dostawca treści pakietu jest dopasowywany podczas sprawdzania adresu URL.

LibreOffice konwertuje czcionki CFF do Type 1 podczas podzbioru czcionek, co ma miejsce przy eksporcie dokumentu do PDF; czcionki CFF mogą być osadzone w dokumentach. W tej konwersji występuje przepełnienie bufora stosu, ponieważ konwertowane operatory są zapisywane do bufora o stałym rozmiarze bez sprawdzenia, czy się mieszczą. W wersjach poprawionych śledzona jest pozostała pojemność i konwersja zatrzymuje się, gdy zostanie wyczerpana.

LibreOffice może odczytywać czcionki CFF, które mogą być osadzone w dokumentach. Występuje przepełnienie bufora stosu podczas odczytu hintów glifu, ponieważ liczba hintów jest sprawdzana względem niewłaściwego ograniczenia. W wersjach poprawionych liczba hintów jest sprawdzana względem rzeczywistej pojemności tablicy.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu obiektu strumienia, ponieważ długość strumienia jest brana z jego własnego słownika i nie jest sprawdzana względem rzeczywistej liczby bajtów. W wersjach poprawionych zadeklarowana długość jest ograniczana do faktycznie odczytanych bajtów.

LibreOffice Draw może importować dokumenty PDF. Występuje przepełnienie bufora sterty podczas importu zaszyfrowanego dokumentu, ponieważ długość klucza deszyfrującego jest brana ze słownika szyfrowania dokumentu i używana do wypełnienia bufora klucza o stałym rozmiarze bez sprawdzenia. W wersjach poprawionych zadeklarowana długość klucza większa niż bufor jest odrzucana.

LibreOffice może importować grafikę WMF, która może być osadzona w dokumentach. Występuje przepełnienie bufora sterty podczas importu rekordu tekstowego zawierającego własne szerokości znaków. Liczba wartości szerokości i długość tekstu są odczytywane osobno i nie muszą się zgadzać, co prowadzi do wyjścia poza tablicę. W wersjach poprawionych tablica szerokości krótsza niż tekst jest ignorowana.

W LibreOffice występuje przepełnienie bufora stosu podczas importowania prezentacji w przestarzałym formacie PPT. Problem ten występuje w momencie importowania rekordu zamiany kolorów, gdy liczba kolorów przekracza rozmiar tabeli kolorów.

W LibreOffice występuje podatność na przepełnienie bufora w stercie podczas przetwarzania zdarzeń parsera dla elementu pola tekstowego w dokumentach OOXML (DOCX). Problem polega na założeniu, że obiekt handlera jest jednego typu, co prowadzi do zapisu poza końcem alokacji.

LibreOffice ma podatność na przepełnienie bufora w stercie podczas importowania grafiki EMF+, co może prowadzić do nadpisania pamięci. Problem występuje przy obliczaniu rozmiaru alokacji dla gradientu, co może skutkować błędnym przydzieleniem pamięci.

W LibreOffice występowała podatność na przepełnienie bufora w stercie podczas importowania polilinii DXF. Liczba punktów z pliku była obcinana do wartości 16-bitowej, co prowadziło do zapisu poza końcem bufora, gdy liczba punktów przekraczała ten zakres.

Występuje podatność polegająca na obejściu uwierzytelniania, w której aplikacja dołączyła interpreter (Python), który dziedziczy uprawnienia Transparency, Consent, and Control (TCC) przyznane przez użytkownika głównej aplikacji. Poprzez bezpośrednie uruchomienie dołączonego interpretera skrypty atakującego działają z uprawnieniami TCC aplikacji. W wersjach poprawionych stosuje się ograniczenia nadrzędne, aby tylko główna aplikacja mogła uruchamiać interpreter z tymi uprawnieniami. Problem dotyczy LibreOffice na macOS: od 25.2 do < 25.2.4.