Solucionada grave vulnerabilidad en diversas suites ofimáticas libres - xombra.com



OpenOffice (Apache) ha determinado que la vulnerabilidad tendría un impacto de revelación de información. LibreOffice ha considerado un riesgo mayor, elevándolo a ejecución remota de código. Las actualizaciones 3.4.6/3.5.1 de LibreOffice la corrigen y existe un parche para la versión de OpenOffice 3.3.

El fallo residiría en una incorrecta política de seguridad a la hora de interpretar documentos XML que utilicen entidades de declaración personalizadas, y usen la librería afectada (libraptor), puesto que no controla la carga de entidades externas.

Esto permitiría un ataque de tipo XXE (XML External Entity) facilitando el robo de información o la aceptación de contenido externo a través de canales no seguros. Crearía una vía para la ejecución remota de código arbitrario, a través de documentos ODF (Open Document Format, por ejemplo los ".odt") especialmente manipulados.

Un ejemplo de la vulnerabilidad:

Un documento ODF utiliza compresión ZIP y está compuesto por diferentes archivos en su estructura, en particular, un “manifest.rdf” estructurado mediante RDF/XML.

RDF (Resource Description Framework) es utilizado para guardar metadatos asociados con determinados elementos de un documento y en el fichero manifest.rdf, se pueden hacer referencias a ficheros RDF secundarios, albergados en la propia estructura del documento ODF o externos a él (vía HTTP o FTP).

Tomemos como ejemplo un .RDF malicioso embebido en un documento ODF.:

Éste sería capaz de leer el contenido de "win.ini" de nuestro sistema y lo incluiría luego en los metadatos propios del documento ODF, quedando de esta manera (el contenido de win.ini se observa más abajo):

Este simple ejemplo puede potenciarse hasta conseguir un impacto mucho mayor, dependiendo de la implementación hecha de la librería afectada en cada software:

Un atacante podría crear un sitio web con un fichero .odt compuesto por un formulario configurado para reenviarse al atacante.

El usuario descarga o recibe el fichero, lo rellena y lo guarda, sin saber que está siendo enviado.

El atacante sólo tiene que descomprimir el ficheor ODF para averiguar los ficheros de configuración de la víctima, o cualquier otros documento que resida en su sistema.

Se recomienda actualizar las suites ofimáticas afectadas a través de los canales oficiales de cada fabricante.

Más información:

libraptor - XXE in RDF/XML File Interpretation
http://www.vsecurity.com/resources/advisory/20120324-1/

CVE-2012-0037: OpenOffice.org data leakage vulnerability
http://www.openoffice.org/security/cves/CVE-2012-0037.html

CVE-2012-0037: XML Entity Expansion flaw by processing RDF file
http://www.libreoffice.org/advisories/CVE-2012-0037/

Fuente:
José Mesa Orihuela
http://hispasec.com


Guardar publicación en PDF

Otras noticias de interes:

 Gusano se propaga por Facebook, Twitter, Gtalk y Orkut
Desde Securelist informan sobre la detección de un gusano diseñado para robar contraseñas de Facebook y aprovechar el perfil del usuario para propagarse por chat. El mensaje contiene un enlace malicioso, al acceder las víctimas se pueden infectar automáticamente (drive by download) mediante un applet que descarga diferentes malwares incluyendo al propio gusano.
 Medidas de seguridad de #Xbox Live son insuficientes
Carl Leeming, asegura que las medidas de seguridad de Xbox Live son insuficientes si pretenden prevenir intrusiones no autorizadas.
 Redes sociales son buenas o malas para la empresa?
Estudios de la Universidad de Melbourne afirman que los trabajadores que usan con moderación las redes sociales en sus puestos de trabajo, son un 9 por ciento más productivos. Sin embargo, Facebook, la red social por antonomasia, con 500 millones de usuarios en todo el mundo, ha sustituido al correo electrónico en lo que a puerta de entrada de malware se refiere.
 Un fallo SSL podría haberse utilizado para atacar a Twitter
Otras páginas Web también podrían estar en peligro. Y es que, un fallo en el protocolo utilizado para asegurar las comunicaciones en Internet podría haberse utilizado para atacar cuentas Twitter. Es lo que afirman investigadores de seguridad de IBM.
 Congreso software libre, Manizales (Colombia)

El próximo 16,17,18 de marzo se llevara a cabo en la ciudad de manizales el XIV congreso nacional de Estudiantes de Ing. de sistemas y el IV congreso internacional de software libre GNU/Linux, invitados especiales.

Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • solucionada

  • grave

  • vulnerabilidad

  • diversas

  • suites

  • imáticas

  • libres

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • internet

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • chrome

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql