El equipo detrás de LibreOffice lanzó actualizaciones de seguridad para corregir tres vulnerabilidades de seguridad en el software de productividad, una de las cuales podría explotarse para lograr la ejecución de código arbitrario en los sistemas afectados.
El problema, rastreado como CVE-2022-26305, fue descrito como un caso de validación de certificado incorrecta al verificar si una macro está firmada por un autor de confianza, lo que lleva a la ejecución de código malicioso empaquetado dentro de las macros.
«Por lo tanto, un adversario podría crear un certificado arbitrario con un número de serie y una cadena de emisor idéntica a un certificado de confianza que LibreOffice presentaría como perteneciente al autor de confianza, lo que podría llevar al usuario a ejecutar código arbitrario contenido en macros de confianza indebida», dijo LibreOffice en un aviso.
También se resolvió el uso de un vector de inicialización estático (IV) durante el cifrado (CVE-2022-26306) que podría haber debilitado la seguridad en caso de que un malhechor tuviera acceso a la información de configuración del usuario.
Finalmente, las actualizaciones también resuelven CVE-2022-26307, en el que la clave maestra estaba mal codificada, lo que hace que las contraseñas almacenadas sean susceptibles a un ataque de fuerza bruta si un adversario está en posesión de la configuración del usuario.
Las tres vulnerabilidades, que fueron informadas por OpenSource Security GmbH en nombre de la Oficina Federal de Seguridad de la Información de Alemania, se solucionaron en las versiones 7.2.7, 7.3.2 y 7.3.3 de LibreOffice.
Los parches llegan cinco meses después de que Document Foundation corrigiera otro error de validación de certificado incorrecto (CVE-2021-25636) en febrero de 2022. En octubre pasado, se parchearon tres vulnerabilidades de suplantación de identidad de las que se podía abusar para alterar documentos y hacer que parecieran con firmas digitales de una fuente confiable.
