ב-LibreOffice בגרסאות 24.8 שלפני 24.8.4, מסמך שמכיל גופן מוטמע יכול לכתוב קובץ לכל נתיב בדיסק שהתוקף בחר, ולא רק לתיקייה שהתוכנה הקצתה לכך. הציון נמוך, 2.4 מתוך 10, ושתי מגבלות מסבירות למה: הקובץ שנכתב חייב להסתיים בסיומת ttf, ומישהו צריך לפתוח את המסמך על המחשב שלו.
מה החולשה?
מסמך יכול לשאת בתוכו את הגופן שבו הוא כתוב, כדי שייראה אותו דבר אצל כל מי שפותח אותו. כשהתוכנה נתקלת בגופן כזה היא כותבת אותו לדיסק לפני שהיא משתמשת בו, ולשם כך היא צריכה שם ונתיב. הרשומה אומרת שאת הנתיב הזה היה אפשר להכתיב מתוך הקובץ.
הסיווג כאן מדויק ושווה לשים לב אליו: מעבר נתיב מוחלט. בגרסה המוכרת יותר של הכשל הזה התוקף מטפס מתיקייה לתיקייה בעזרת רצף של שתי נקודות ולוכסן, עד שהוא יוצא מהאזור שהוקצה לו. כאן הוא לא צריך לטפס בכלל, אלא פשוט נותן נתיב מלא מראש העץ, והתוכנה הולכת לשם וכותבת.
ומה שמחזיק את החולשה הזאת בציון נמוך הוא מה שהיא אינה מאפשרת. הרשומה אומרת במפורש שהקובץ שנכתב נושא את הסיומת ttf, ולכן אי אפשר לשתול כך קובץ בכל צורה שרוצים. הדירוג מצטרף לזה: אין פגיעה בסודיות, הפגיעה בשלמות מסומנת כנמוכה, ונדרשת גם גישה מקומית וגם פעולה של המשתמש.
כלומר זה אינו נתיב להשתלטות על המחשב. זה נתיב לכתוב או לדרוס קובץ גופן במקום שהמשתמש לא בחר, בכל מקום שיש לו בו הרשאת כתיבה.
מי מושפע?
לפי הרשומה, LibreOffice מגרסה 24.8.0.1 ועד לפני 24.8.4, וגם גרסה 24.8.0.0. התיקון נמצא ב-24.8.4.
ברשומה מופיעה גם Debian 11, כלומר ההפצה שארזה את הגרסה הפגועה, ולצידה מקושרת הודעה של צוות התחזוקה הממושכת של דביאן. מי שמקבל את LibreOffice מההפצה שלו תלוי בעדכון החבילה שלה, ולא בהורדה מאתר היצרן.
LibreOffice היא חבילת המשרד החופשית, וזה אומר שהיא נמצאת דווקא אצל מי שלא קנה רישיון: בבתים, בבתי ספר, בעמותות ובגופים ציבוריים קטנים. מי שחשוף כאן בפועל הוא מי שפותח בה מסמכים שהגיעו ממקור שאינו מוכר, וזה בדיוק מה שקורה כשמסמך מגיע בדואר.
האם מנוצלת בפועל?
אין דיווח מאומת על ניצול. החולשה אינה רשומה בקטלוג ה-KEV, הרשימה שבה סוכנות הסייבר האמריקאית CISA מתעדת חולשות שיש עליהן עדות לשימוש אמיתי. היעדר מהרשימה אינו קביעה שאף אחד לא ניסה, אלא שאין דיווח מאומת, והחולשה פורסמה בינואר 2025.
מה עושים?
1. בדקו את הגרסה שלכם. בתפריט עזרה, בחרו אודות LibreOffice. מספר הגרסה מופיע שם, ואפשר להעתיק אותו משם.
2. אם אתם על אחת מגרסאות 24.8 שלפני 24.8.4, עדכנו. 24.8.4 היא הגרסה שסוגרת את החולשה, והגרסאות שיצאו מאז מכילות אותה גם הן.
3. אם LibreOffice הגיע אליכם מהפצת לינוקס, התקינו את עדכוני האבטחה של ההפצה במקום להוריד מהאתר. למשתמשי Debian 11 הפרטים נמצאים בהודעה של צוות ה-LTS, והפרטים המלאים של היצרן נמצאים בהודעת האבטחה של LibreOffice.
4. ובמקביל, שווה לזכור מה מפעיל את החולשה הזאת בכלל: פתיחה של מסמך שמישהו שלח. מסמך ממקור שאינכם מכירים אינו הופך לבטוח בגלל שהוא נראה כמו חשבונית או כמו קובץ שהתבקשתם לאשר.