Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat wegen zweier remote ausnutzbaren Sicherheistlücken in Libreoffice eine Technische Warnung ausgegeben. Betroffen sind die Libreoffice-Verionen vor 6.2.5 in den Versionen für Linux, Windows und Mac OS.
In der von der Document Foundation bereits veröffentlichten Version 6.2.5 sind die Probleme behoben. Das BSI schreibt zu der Problematik: Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in LibreOffice ausnutzen, um beliebige Befehle mit Benutzerrechten auszuführen oder Sicherheitsvorkehrungen zu umgehen. Dazu muss das Opfer jedoch ein entsprechend modifiziertes Dokument öffnen.
Bei Libreoffice selbst finden sich zwei entsprechende Advisories. Um einen Angriff zu ermöglichen muss der Benutzer bei beiden Lücken ein präpariertes Dokument öffnen.
Bei der Lücke CVE-2019-9848 lässt sich über das LibreLogo-Skript des Office-Programms Python-Code ausführen. In einem entsprechend präparierten und vom Nutzer geöffneten Dokument geschieht das bei diversen Events, etwa bei MouseOver.
Die zweite Sicherheitslücke CVE-2019-9849 lässt sich im Stealth-Modus des Programms ausnutzen, der dem Nutzer eigentlich mehr Sicherheit verspricht, indem er externe Inhalte nur bei Dokumente aus vertrauenswürdigen Quellen akzeptiert. Dieser Modus lässt sich aber durch grafische Bullets übertölpeln, die der Stealth-Modus nicht einbezieht.
Die von den Problemen befreite Version Libreoffice 6.2.5 steht für Linux. Mac OS und Windows zum Download zur Verfügung. Einige Linux-SDistributionen haben ihre Ofice-Pakete bereits auf den neusten Stand gebracht. Darunter Ubuntu, Debian und Fedora.
