גיליון שהגיע אליכם מבחוץ היה יכול לכתוב קובץ למקומות שלכם יש הרשאה לכתוב אליהם, בלי לשאול. החולשה הזאת ב-LibreOffice Calc אינה חושפת מידע ואינה מפילה את התוכנה. היא נוגעת לכתיבה בלבד, והציון שלה הוא 6.8 מתוך 10 בסולם CVSS בגרסה 4.0.

מה החולשה?

ב-Calc אפשר לקשור טווח תאים למקור נתונים חיצוני, כך שהתוכן נשאב מבחוץ במקום להיות מוקלד בתוך הגיליון. הקישור הזה נשמר בתוך קובץ המסמך, כלומר הוא נוסע איתו לכל מי שמקבל אותו.

בין סוגי המקורות שאפשר לקשור אליהם יש גם מסד נתונים מוטמע מסוג Firebird, מסד קטן שחי בתוך המסמך עצמו ולא על שרת נפרד. לפי הרשומה, מסד כזה היה יכול לכתוב קובץ לכל מקום שלמשתמש שפתח את המסמך יש הרשאת כתיבה אליו. הסיווג הוא CWE-22, מעבר בין תיקיות, והוא מתאר את זה בדיוק: רכיב שאמור להישאר בגבולות שלו יוצא מהם.

בגרסאות המתוקנות, לפי אותה רשומה, מסד Firebird מוטמע יכול לפתוח או ליצור קבצים רק בתוך תיקייה פרטית שלו.

כאן כדאי לקרוא את הווקטור, מפני שהוא ממקם את החולשה במדויק. הסימון VI:H אומר שהפגיעה היא בשלמות המידע, והסימונים VC:N ו-VA:N אומרים שאין חשיפה ואין השבתה. התוקף אינו קורא אצלכם דבר, הוא כותב. הסימון UI:P מוסיף שצריך שמישהו יפתח את המסמך, ו-AV:L אומר שזאת אינה תקיפה שמגיעה מרחוק דרך הרשת אלא כזאת שמתרחשת על המכונה עצמה ברגע שהקובץ נפתח בה.

מי מושפע?

הרשומה אינה מונה גרסאות. המספרים נמצאים בהודעת האבטחה של LibreOffice, ושם גם הגרסה שבה המגבלה החדשה על Firebird המוטמע נכנסה לתוקף.

מי שמשתמש ב-LibreOffice עושה את זה בדרך כלל מפני שהוא חבילת האופיס החופשית. בישראל זה אומר מחשבים בבית, בבתי ספר, במלכ"רים ובגופים ציבוריים שלא קנו רישיונות, וגם לא מעט תחנות עבודה של אנשי פיתוח ומערכות. הקהל הזה אינו קטן, והוא גם לא תמיד זה שמקבל עדכונים אוטומטית.

האם מנוצלת בפועל?

החולשה אינה רשומה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הרשימה שמרכזת חולשות שידוע על ניצול שלהן בשטח. זה המצב נכון לעדכון האחרון של הדף, ואין בו קביעה שלא נעשה בה שימוש, רק שלא ידוע על כזה.

מה עושים?

עדכנו את LibreOffice. הרשומה אינה נוקבת בגרסאות, ולכן המספר המדויק נמצא בהודעת האבטחה של הפרויקט שמקושרת למעלה.

עד אז, שימו לב מאיפה מגיעים גיליונות. החולשה אינה פועלת מעצמה: צריך שמישהו יפתח את המסמך על המכונה, וגיליון שהגיע ממקור שלא ציפיתם לו הוא הדרך היחידה שבה זה קורה.

ואם פתיחת מסמכים ממקורות לא מזוהים היא חלק מהעבודה שלכם, עשו את זה מחשבון משתמש רגיל ולא מחשבון עם הרשאות רחבות. הרשומה מגדירה את גבול הכתיבה לפי מה שלמשתמש שפתח את המסמך מותר לכתוב, כך שחשבון מוגבל מצמצם ישירות את מה שאפשר לעשות דרך החולשה.