Злодие документы могут захватить Apache OpenOffice

Краткое содержание:

1. OpenOffice.Программное обеспечение Org может подвергаться большему риску компьютерных вирусов, чем MS Office.

2. Исследователи из министерства обороны Франции обнаружили несколько уязвимостей в OpenOffice.орг.

3. Были созданы вирусы проверки концепции, чтобы проиллюстрировать, как макросы и шаблоны могут поставить под угрозу системы.

4. OpenOffice.org не выполняет адекватные проверки безопасности на программном обеспечении, которое он работает.

5. Гибкость бесплатного офисного набора позволяет создавать несколько способов создавать вредоносные макросы.

6. Корпус сигналов Франции Министерства обороны провел исследование и опубликует отчет в академическом журнале.

7. OpenOffice.Команда Org исправила одну программную ошибку, о которой сообщают исследователи.

8. OpenOffice.Орг исправлена ​​другие уязвимости, и пользователям рекомендуется перейти на последнюю версию.

9. Уязвимости безопасности в OpenOffice.орг рассматривается как забота о проекте с открытым исходным кодом.

10. Приложения Microsoft Office также были нацелены на злоумышленники с помощью злонамеренно закодированных документов.

Вопросы:

1. Это OpenOffice.Орг, более уязвимый для компьютерных вирусов, чем MS Office?

Да, по словам исследователей из министерства обороны Франции, OpenOffice.Орг считается, по крайней мере, столь же уязвимой, как и офис MS, если не более.

2. Как исследователи создали вирусы подтверждения концепции?

Исследователи создали злонамеренно закодированные макросы и шаблоны, чтобы продемонстрировать, как системы работают OpenOffice.орг может быть скомпрометирована.

3. Что является одним из основных недостатков дизайна OpenOffice.орг?

OpenOffice.Орг не выполняет адекватные проверки безопасности на программном обеспечении, которое он запускает, что оставляет его открытым для потенциальных атак вредоносных программ.

4. Как крайняя гибкость OpenOffice.org вносит свой вклад в свои уязвимости безопасности?

Гибкость бесплатного офисного пакета позволяет создавать различные способы создания вредоносных макросов, что может привести к компромиссным системам, запущенным программным обеспечением.

5. Какие шаги имеет OpenOffice.команда орг, взятая для устранения уязвимостей?

Команда исправила одну программную ошибку, о которой сообщают французские исследователи и обсуждают с ними, чтобы улучшить общую безопасность программного обеспечения. Они также выпустили исправления для других уязвимостей и советуют пользователям обновить до последней версии.

6. Как уязвимости безопасности в OpenOffice.Орга?

Уязвимости в OpenOffice.Орг рассматривается как забота о проекте с открытым исходным кодом, и предполагается, что безопасность документов OpenOffice не получила такого же уровня внимания, как офисные документы Microsoft.

7. Иметь злоумышленники нацелены на офисные приложения Microsoft со злонамеренно закодированными документами?

Да, злоумышленники использовали ошибки в офисных приложениях Microsoft и отправили документы злонамеренно закодированных Word, Excel и PowerPoint по электронной почте целевым жертвам.

8. Какой тип уязвимости был обнаружен в Apache OpenOffice?

Уязвимость удаленного выполнения кода (RCE) была обнаружена в Apache OpenOffice, который можно использовать с помощью вредоносного файла для выполнения вредоносных программ на машине.

9. Уязвимость в Apache Open Office уже исправлена?

Исходный код Apache OpenOffice был исправлен, но в настоящее время исправление доступно только в виде бета -программного обеспечения. Ожидается, что официальный релиз с патчем скоро будет развернут.

10. Как исследователь Юджин Лим обнаружил уязвимость в OpenOffice?

Юджин Лим сосредоточен на форматах файлов и обнаружил ошибку удаленного выполнения кода в формате файла базы данных DBASE (DBF), который все еще используется современным приложениями, такими как Microsoft Office, LibreOffice и Apache OpenOffice.

11. Почему уязвимость не была обнаружена ранее?

LIM спрашивает, почему уязвимость в OpenOffice не была обнаружена ранее, учитывая, что это программа с открытым исходным кодом, которая подвергла бы автоматическому сканированию статические анализаторы кода. Остается неясным, почему ошибка осталась незамеченной.

12. Какие шаги предпринимаются для решения уязвимости в Apache OpenOffice?

Комитет по управлению проектами AOO работает над выпуском новой версии, Apache OpenOffice 4.1.11, который включает в себя необходимый патч для уязвимости.

13. В чем беспокойство относительно широкого использования Apache OpenOffice?

С сотнями миллионов загрузок широко распространенное использование Apache OpenOffice оставляет большое количество пользователей, уязвимых для уязвимости удаленного кода.

14. Какое другое программное обеспечение, помимо Apache OpenOffice, подвержена уязвимости удаленного выполнения кода?

Уязвимость удаленного выполнения кода в формате DBASE DATABASE FILE (DBF) влияет на другое программное обеспечение, включая Microsoft Office и LibreOffice.

15. Юджин Лим опытным исследователем уязвимости?

Нет, Юджин Лим является новым в исследованиях уязвимости и сделал обнаружение уязвимости отдаленного выполнения кода в Apache OpenOffice.

Злодие документы могут захватить Apache OpenOffice

“Это задало вопрос: почему никто не обнаружил эту ошибку ранее? В качестве программы с открытым исходным кодом, OpenOffice, несомненно, будет автоматически сканировать различными анализаторами статического кода, которые легко подхватили небезопасную Memcpy,” пишет Лим.

OpenOffice больший риск безопасности, чем MS Office?

Хотя Microsoft Corp.Офисный пакет в настоящее время преследует хакеры, исследователи из министерства обороны Франции говорят, что пользователи OpenOffice.Программное обеспечение Org может быть подвержено еще большему риску компьютерных вирусов.

«Общая безопасность OpenOffice недостаточна»,-написали исследователи в статье под названием «Углубленный анализ вирусных угроз с OpenOffice.Орг документы.”

«Этот набор до сих пор все еще уязвим ко многим потенциальным атакам вредоносных программ», – написали они.

В статье описываются четыре вируса проверки концепции, которые иллюстрируют, как могут быть созданы злонамеренно кодируемые макросы и шаблоны для компромисса систем, использующих программное обеспечение с открытым исходным кодом. “Вирусная опасность, прикрепленная к OpenOffice.орг, по крайней мере, такой же высокий, как и для Microsoft Office Suite, и даже выше при рассмотрении некоторых . аспекты », – написали они.

Отчет был написан исследователями из сигнального корпуса Министерства обороны французского министерства обороны и должен быть опубликован в Журнал по компьютерной вирусологии, Парижский академический журнал для компьютерных ученых.

Ряд задач, описанных в отчете, связаны с базовым дизайном программного обеспечения. Например, OpenOffice.Орг не выполняет адекватные проверки безопасности на программном обеспечении, которое он работает. И из -за чрезвычайной гибкости бесплатного офисного набора, у авторов есть много способов создавать вредоносные макросы, исследователи обнаружили.

OpenOffice.Команда Org уже исправила программную ошибку, обнаруженную французскими исследователями, и обе группы обсуждают, как улучшить общую безопасность программного обеспечения, сказал Луи Суарес-Петтс, OpenOffice.Орг -менеджер сообщества.

«Один реальный недостаток в логике программирования был исправлен»,-сказал Суарес-Петтс. “Другие теоретические.”

OpenOffice.Орг за последние несколько недель исправил ряд уязвимостей, и Суарес-Петтс сказал, что пользователи должны перейти на последнюю версию.

Эти последние ошибки показывают, что проект с открытым исходным кодом имеет некоторую работу по безопасности, сказал Расс Купер, старший аналитик по информационной безопасности в Cybertrust Inc. «Если бы эти виды уязвимостей были обнаружены в офисе Microsoft, это были бы новости на первой странице»,-сказал он. «Кто бы ни был обеспечить безопасность OpenOffice, полностью проигнорировал то, что Microsoft прошла с безопасностью их офисных документов.”

В последнее время злоумышленники использовали ряд ошибок в офисных приложениях Microsoft, отправляя злонамеренно закодированные документы Word, Excel и PowerPoint по электронной почте небольшому числу жертв в чрезвычайно целенаправленных атаках. Во вторник Microsoft исправлена ​​последние такие недостатки, которые были связаны с PowerPoint.

Исследователь сигнального корпуса Эрик Филиол также обсудил некоторые из открытых команд.Орг -выводы во время презентации конференции. Его презентационные слайды доступны в Интернете (скачать PDF).

Филиол отказался допросить эту историю.

Питер Сайер в Париже внес свой вклад в этот отчет.

• Вредоносное ПО
• Открытый источник
• Малый и средний бизнес

Copyright © 2006 IDG Communications, Inc.

Злодие документы могут захватить Apache OpenOffice

Информационная безопасность (открывается в новой вкладке) Исследователи обнаружили уязвимость удаленного выполнения кода (RCE) в Apache OpenOffice (AOO) (открывается в новой вкладке), которую можно злоупотреблять злонамеренным файлом для выполнения вредоносное ПО (открывается на новой вкладке) на машине.

Уязвимость, отслеживаемая как CVE-2021-33035, была подчеркнута Юджином Лим на онлайн-конференции Hackerone’s Hacktivity, которая только начала наступление в исследования уязвимости.

Aoo is is’T так широко используется, как и другие Открытый исходный код (открывается в новой вкладке) Вилка, Libreoffice (Открывается на новой вкладке) и получил свой последний официальный релиз в мае. Тем не менее, офисный пакет зарегистрировал сотни миллионов загрузок, оставив практически все пользователи уязвимыми.

• Здесь’S наша сводка Лучшие ноутбуки для программирования (открывается в новой вкладке)
• Проверьте наш список этих лучших курсов Python (открывается в новой вкладке)
• Начните свое путешествие в веб -разработку с этими Лучшие курсы HTML (открывается в новой вкладке)

Интересно, что в то время как исходный код приложения был исправлен, Реестр Отчеты, что исправление было доступно только в качестве бета -программного обеспечения.

“Мы стремимся бросить релиз для Apache OpenOffice 4.1.11 в течение месяца, надеюсь, раньше и опубликует CVE-2011-33035 до выхода »,-сказал Дейв Фишер от имени Комитета по управлению проектами AOO (PMC) в заявлении Реестр.

Избегая внимания

Вместо того, чтобы сосредоточиться на конкретном программном обеспечении, Лим посоветовал направить свое внимание в форматах файлов. Быстрый поиск привел его к формату файла базы данных DBASE (DBF), который был создан более четырех десятилетий назад, но все еще используется в качестве механизма хранения данных современными приложениями, такими как Microsoft Office, LibreOffice и AOO.

В Технический блог (Открывается в новой вкладке) Обмен подробности об уязвимости, Лим объясняет, как он смог найти ошибку RCE в DBF без особых усилий.

“Это задало вопрос: почему никто не обнаружил эту ошибку ранее? В качестве программы с открытым исходным кодом, OpenOffice, несомненно, будет автоматически сканировать различными анализаторами статического кода, которые легко подхватили небезопасную Memcpy,” пишет Лим.

Небольшое исследование привело его к платформе анализа кода, которая запускает тесты на проектах с открытым исходным кодом, который пометил AO как Питон (открывается в новой вкладке) и JavaScript (открывается в новой вкладке), а не как C ++, что приводит к тому, что сканер пропустил уязвимость.

“Это демонстрирует важность проверки здравомыслия автоматизированных инструментов статического анализа; Если ваши инструменты не надеты’не знаю, что код существует, он может’не найдите эти уязвимости,” объясняет Лим.

• Эти Лучшие курсы JavaScript (открывается на новой вкладке) Доступно в настоящее время

Вы профессионал? Подписывайтесь на нашу новостную рассылку

Зарегистрируйтесь в информационном бюллетене Techradar Pro, чтобы получить все главные новости, мнения, функции и руководство, которые нуждаются в вашем бизнесе, чтобы добиться успеха!

Отправляя свою информацию, которую вы соглашаетесь с условиями (открываются в новой вкладке) и Политику конфиденциальности (открывается в новой вкладке) и в возрасте 16 лет или более.

С почти два десятилетия написания и отчетности о Linux, Mayank Sharma хотел бы, чтобы все думали, что он’с Techradar Pro’с Эксперт по теме. Конечно, он’S так же заинтересован в других вычислительных темах, в частности, кибербезопасность, облако, контейнеры и кодирование.