Vulnerabilidades de suplantación de firmas digitales descubiertas en OpenOffice y LibreOffice

Los mantenedores de LibreOffice y OpenOffice enviaron actualizaciones de seguridad a su software de productividad para corregir múltiples vulnerabilidades que podrían ser armadas por actores malintencionados para alterar documentos y hacerlos parecer como si estuvieran firmados digitalmente por una fuente confiable.

La lista de las tres vulnerabilidades es la siguiente:

La explotación exitosa de las vulnerabilidades podría permitir a un atacante manipular la marca de tiempo de los documentos ODF firmados y, lo que es peor, alterar el contenido de un documento o autofirmar un documento con una firma que no es de confianza, que luego se modifica para cambiar el algoritmo de firma a uno no válido o algoritmo desconocido.

En los dos últimos escenarios de ataque, derivados de una validación incorrecta del certificado, LibreOffice muestra de forma incorrecta un indicador firmado válido que sugiere que el documento no ha sido manipulado desde que se firmó y presenta una firma con un algoritmo desconocido como una firma legítima emitida por una emisora de confianza.

Las vulnerabilidades se han corregido en OpenOffice versión 4.1.11 y LibreOffice versiones 7.0.5, 7.0.6, 7.1.1 y 7.1.2. A la Cátedra de Seguridad de Redes y Datos (NDS) de la Universidad de Ruhr en Bochum, se le atribuye el mérito de haber descubierto e informado sobre las tres vulnerabilidades.

Los hallazgos son los últimos de una serie de vulnerabilidades descubiertas por los investigadores de Ruht-University Bochum y siguen técnicas de ataque similares reveladas a inicios del año, que podrían permitir a un atacante modificar el contenido visible de un documento PDF certificado mostrando contenido malicioso sobre el contenido certificado sin invalidar su firma.

Se recomienda a los usuarios de LibreOffice y OpenOffice que actualicen a la última versión para mitigar el riesgo asociado con las vulnerabilidades.

Grupo de WhatsApp: https://chat.whatsapp.com/HcazyklpyeU4X3BF657KFQ
Grupo de Telegram: https://t.me/Masterhacks_net

Donaciones
Gracias por apoyar el libre conocimiento!
Bitcoin: bc1q4sw9260twfcxatj8mjp7358cyvrf8whzlelyhj
Litecoin: LbFduJmHvQXcpCnwfUT7aJ4DYoWSL3iQw8
BCH: qqnkqcu8sa90zuuzd2nvdrslgdv3u5ta6cy4ch0rnq
Ethereum: 0xFb93D2a3c9d1A0b83EE629c2dE1725BCa192e581

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *