¿Está utilizando LibreOffice?

Debe tener mucho cuidado con los archivos de documentos que abre con el software LibreOffice en los próximos días.

Esto se debe a que LibreOffice contiene una grave vulnerabilidad de ejecución de código sin parches que podría infiltrar malware en su sistema tan pronto como abra un archivo de documento creado con fines malintencionados.

LibreOffice es una de las alternativas más populares y de código abierto a la suite de Microsoft Office y está disponible para sistemas Windows, Linux y macOS.

A principios de este mes, LibreOffice lanzó la última versión 6.2.5 de su software que soluciona dos vulnerabilidades graves (CVE-2019-9848 y CVE-2019-9849), pero el parche para el primero ya se ha omitido, según el investigador de seguridad Alex Inführ. reclamación (es.

Aunque Inführ aún no ha revelado los detalles de la técnica que le permitió eludir el parche, el impacto de esta vulnerabilidad sigue siendo el mismo, como se explica a continuación.

1.) CVE-2019-9848: Esta vulnerabilidad, que aún existe en la última versión, reside en LibreLogo, un script de gráficos vectoriales de tortugas programables que se envía de forma predeterminada con LibreOffice.

LibreLogo permite a los usuarios especificar scripts preinstalados en un documento que se puede ejecutar en varios eventos, como pasar el mouse por encima.

Descubierta por Nils Emmerich, la falla podría permitir que un atacante elabore un documento malicioso que puede ejecutar silenciosamente comandos arbitrarios de Python sin mostrar ninguna advertencia a un usuario objetivo.

«El gran problema aquí es que el código no está bien traducido y simplemente proporcionar el código python como código de secuencia de comandos a menudo da como resultado el mismo código después de la traducción», dijo Emmerich.

«Usando formularios y el evento OnFocus, incluso es posible obtener la ejecución del código cuando se abre el documento, sin necesidad de pasar el mouse sobre el evento».

Emmerich también publicó una prueba de concepto para este ataque en su publicación de blog.

2.) CVE-2019-9849: esta vulnerabilidad, que puede corregir instalando la última actualización disponible, podría permitir la inclusión de contenido arbitrario remoto dentro de un documento incluso cuando el «modo oculto» está habilitado.

El modo sigiloso no está habilitado de forma predeterminada, pero los usuarios pueden activarlo para indicar a los documentos que recuperen recursos remotos solo desde ubicaciones confiables.

Cómo proteger su sistema

Inführ ya notificó al equipo de LibreOffice sobre el problema de la omisión, pero hasta que el equipo publique un parche para solucionar la omisión, se recomienda a los usuarios que actualicen o reinstalen el software sin macros o al menos sin el componente LibreLogo, siguiendo los pasos mencionados a continuación.

• Abra la configuración para comenzar la instalación.
• Seleccione la instalación «Personalizada»
• Expanda «Componentes opcionales»
• Haga clic en «LibreLogo» y seleccione «Esta característica no estará disponible»
• Haga clic en Siguiente y luego en Instalar el software