הרגע המעניין בחולשה הזאת הוא רגע הפתיחה. לפי הרשומה, קישור למקור נתונים חיצוני מסוג csv ששמור בתוך גיליון של LibreOffice Calc נשלף בזמן שהמסמך נטען, לפני שהמשתמש עשה בגיליון משהו. הציון הוא 6.7 מתוך 10.

מה החולשה?

csv הוא הפורמט הפשוט ביותר לטבלה: שורות של טקסט שבהן תו מפריד בין עמודה לעמודה. Calc יודע לקשור טווח תאים לקובץ כזה, כך שהטבלה בגיליון נשאבת ממקור חיצוני במקום להיות מוקלדת. הקישור נשמר בתוך המסמך ועובר איתו הלאה.

הבעיה אינה בקישור אלא בתזמון שלו. לפי הרשומה, הקישור הזה נשלף בזמן טעינת המסמך ולא כשהמשתמש ביקש לרענן נתונים. הרשומה מונה שתי תוצאות אפשריות. האחת, אם היעד של הקישור הוא קובץ על המחשב, תוכנו נקרא אל תוך הגיליון. האחרת, שהקישור פונה לכתובת ברשת, וזאת כתובת שמי שבנה את המסמך בחר.

שתיהן נוגעות לאותו דבר, מידע שיוצא ממקום שלא התכוונתם שייצא ממנו, ולכן הסיווג כאן הוא CWE-200, חשיפת מידע לגורם לא מורשה. הווקטור מחדד: VC:H לחשיפה גבוהה, ולידו SC:H, שמציין שהחשיפה אינה נעצרת בתוכנה עצמה אלא נוגעת גם למערכת שסביבה. הסימון UI:P נשאר, כלומר נדרש שמישהו יפתח את המסמך.

מה שהשתנה בגרסאות המתוקנות הוא בדיוק התזמון. לפי הרשומה, קישורי נתונים חיצוניים עברו להיות תחת אותו מנגנון שליטה בעדכון קישורים שחל על שאר הקישורים בגיליון. כלומר הם אינם מתעדכנים יותר בשקט בזמן הטעינה.

מי מושפע?

הרשומה אינה מפרטת גרסאות. הן מופיעות בהודעת האבטחה של LibreOffice.

מי שמקבל גיליונות כחלק מהשגרה הוא הקהל המעשי כאן: הנהלת חשבונות, רכש, מכירות, כל תפקיד שאליו זורמים קבצי אקסל וגיליונות מספקים, מלקוחות וממועמדים. אדם כזה פותח ביום עשרות מסמכים שלא הוא יצר, וזאת בדיוק הפעולה שהחולשה נשענת עליה.

האם מנוצלת בפועל?

לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שידוע שתוקפים מנצלים בשטח, וזה המצב נכון לעדכון האחרון של הדף הזה.

מה עושים?

עדכנו את LibreOffice לגרסה שמופיעה בהודעת האבטחה שמקושרת למעלה. התיקון מעביר את קישורי הנתונים החיצוניים לשליטת מנגנון עדכון הקישורים, וזה מה שמונע את השליפה האוטומטית בזמן הטעינה.

המנגנון הזה הוא גם ההגנה המעשית שלכם, ולכן אל תכבו אותו. LibreOffice שואל לפני שהוא מעדכן קישורים במסמך, וביחס למסמך שהגיע ממקור חיצוני התשובה הנכונה היא לא לעדכן. השאלה הזאת נראית כמו הפרעה, והיא בדיוק השלב שבו אפשר לעצור את מה שתואר כאן.

ואם אתם מחלקים הנחיות לעובדים שמקבלים גיליונות מבחוץ, זאת ההנחיה: כשנפתח גיליון מספק או ממועמד ועולה שאלה על עדכון קישורים, עונים שלא, וממשיכים לעבוד. גיליון לגיטימי שבאמת צריך נתונים חיצוניים יעבוד גם אחרי רענון יזום.