Investigadores descubrieron una vulnerabilidad en LibreOffice y Apache OpenOffice que permite ejecutar código malicioso al abrir una hoja de cálculo sin previo aviso. El ataque aprovecha el soporte de Java y funciones de bases de datos externas para descargar archivos dañinos. LibreOffice ya lanzó una actualización para corregirlo, mientras que usuarios de OpenOffice deben desactivar Java hasta que se publique la solución.

Investigadores de seguridad han demostrado que una hoja de cálculo maliciosa puede hacer que LibreOffice y Apache OpenOffice ejecuten el código de un atacante tan pronto como abras el archivo.
No hay ninguna advertencia previa, como las que ambos programas muestran antes de ejecutar una macro.

El ataque solo funciona cuando el soporte de Java del programa está activado. Hasta ahora, solo se ha mostrado como una prueba de concepto y no hay informes de su uso en ataques reales.

LibreOffice ya ha corregido el fallo aquí, rastreado como CVE-2026-63277, en las actualizaciones publicadas el 5 de octubre. Te recomienda que te pases a la versión 26.2.5 o 26.8.0. Las versiones anteriores están afectadas.

Apache OpenOffice no ha corregido el fallo correspondiente, rastreado como CVE-2026-59265. Todas las versiones hasta la actual, 4.1.16, están afectadas, y el proyecto indica que se espera una corrección aquí en la versión 4.1.17, que aún se está probando.

Hasta entonces, si usas Apache OpenOffice puedes bloquear el ataque desactivando Java en la configuración del programa, o no abriendo hojas de cálculo en las que no confíes.

Cómo funciona el ataque

El ataque combina funciones que, por separado, funcionan según lo previsto. Una hoja de cálculo de LibreOffice o Apache OpenOffice Calc puede contener un "rango de base de datos", un bloque de celdas que extrae datos de una fuente externa y los actualiza automáticamente. Esa fuente externa puede ser un archivo de base de datos independiente, llamado ODB, identificado mediante una dirección web escrita en la hoja de cálculo.

Cuando abres la hoja de cálculo, el rango se actualiza y el programa descarga el ODB de esa dirección web. El ODB puede nombrar un controlador de base de datos Java, conocido como controlador JDBC, y señalar dónde se encuentra el código del controlador, que puede ser un archivo JAR (un paquete de código Java) o estar en un servidor remoto. El programa entonces descarga el JAR e inicia el controlador, que es el código del atacante, dentro del propio programa.

Cada una de estas es una función normal. El problema de seguridad, según los investigadores, es que juntas logran la ejecución de código sin pedirte nunca que confíes en el documento, a diferencia de lo que ocurre antes de ejecutar una macro.



En la prueba de concepto aquí, el controlador simplemente abre la aplicación de Calculadora, un sustituto inofensivo, pero la misma vía puede ejecutar cualquier código Java que el atacante elija. Los investigadores probaron el ataque en Windows y Linux y afirman que no está ligado a un solo sistema operativo.

En su demostración aquí, los archivos maliciosos estaban en la misma máquina por conveniencia. Los investigadores señalan que un ataque real situaría el archivo de la base de datos y el código en un servidor controlado por el atacante.

El fallo en LibreOffice fue reportado independientemente por Rick de Jager del equipo de seguridad V12 y por Thomas Rinsma y Edoardo Geraci de Codean Labs. Apache acredita a Codean Labs por el fallo coincidente en OpenOffice. El equipo V12 ha publicado una prueba de concepto para ambos programas, y Caolán McNamara de Collabora Productivity escribió la corrección para LibreOffice.

The Hacker News se ha puesto en contacto con The Document Foundation, que desarrolla LibreOffice, y con el proyecto Apache OpenOffice para obtener comentarios.

Fuente:
THN