Se trata de una vulnerabilidad crítica que permite a un atacante ejecutar código escrito en python de manera remota en el equipo de la víctima. Si bien el fallo había sido reparado en la última versión, 6.2.5 publicada el 16 de julio, descubrieron que es posible evadir el parche que lo reparaba.





La popular suite de ofimática de código abierto, LibreOffice, presenta una vulnerabilidad crítica (aún sin parchear) que hace que sea posible infectarse con malware con tan solo abrir un documento malicioso.

Si bien a principios de este mes se lanzó la versión 6.2.5 en la cual se reparaba, entre otras, ésta vulnerabilidad (CVE-2019-9848), el investigador en seguridad alemán Alex Inführ descubrió la forma de evadir el parche que reparaba este fallo crítico en la última versión de la suite, el cual permite ejecutar código de manera arbitraria en el equipo de una víctima.

Si bien el investigador no reveló los detalles de la técnica que le permitió evadir el parche que repara la vulnerabilidad, la amenaza que representa el fallo sigue siendo la misma, publicó TheHackerNews.

De manera predeterminada, LibreOffice viene con LibreLogo, una macro para mover gráficos vectoriales que es ejecutada a través de un script personalizado que puede ser manipulado para ejecutar comandos en pyhton de manera arbitraria en un documento, sin previo aviso y de manera silenciosa.

Dos vulnerabilidades, una sin solucionar

• CVE-2019-9848 Vulnerabilidad no solucionada (bypass) Permite ejecución de código en python
• CVE-2019-9849 Vulnerabilidad solucionada (parche disponible en la última versión)

Según explicó en un post el investigador Nils Emmerich, que fue quien reportó el fallo en primera instancia, LibreLogo ejecuta código personalizado que internamente es traducido a código en Python
y luego ejecutado, pero el problema está en que el código no es traducido de manera correcta.

En este sentido, LibreLogo permite a un usuario especificar en un documento scripts específicos preinstalados que pueden ser ejecutados a través de distintos eventos, por ejemplo, un mouseover (evento que se activa al pasar el puntero del ratón por un elemento).




Emmerich demostró esto mismo y cómo un comando es ejecutado con solo pasar con el puntero del mouse por un hipervínculo que ejecuta un comando, tal como se aprecia en la imagen de arriba, con un comando para abrir la calculadora. Dicha acción es llevada adelante sin que aparezca ningún mensaje previo preguntando al usuario si desea ejecutar el código o no; simplemente es ejecutado. De esta misma forma un atacante puede utilizar este evento para ejecutar código al abrir un documento, sin necesidad de utilizar un evento como mouseover.

PoC

• https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-execution-vulnerability-cve-2019-9848/

import os 
os.system(“calc.exe”) 
Run

Otras vulnerabilidades anteriores ya fueron corregidas correctamente:

• Libreoffice (CVE-2018-16858)

Parche temporal "LibreLogo"

La recomendación hasta que el fallo no sea solucionado es instalar LibreOffice sin macros o al menos sin LibreLogo, aclara Emmerich.


Fuentes:
https://www.welivesecurity.com/la-es/2019/07/29/fallo-libreoffice-permite-comprometer-equipo-solo-abrir-documento/