מסמך יכול להחזיק קישור לקובץ שמע או וידאו במקום להטמיע אותו בתוכו. לפי הרשומה, בלינוקס, שבו LibreOffice מנגן מדיה דרך GStreamer, הקישור הזה היה יכול להצביע על רשימת השמעה שמונה קבצים נוספים, והתוכן שלהם היה יכול להגיע אל תוך המסמך. הציון הוא 6.7 מתוך 10.
מה החולשה?
כשמוסיפים שמע או וידאו למסמך אפשר להטמיע את הקובץ פנימה או להשאיר אליו קישור בלבד. בלינוקס, הנגינה עצמה אינה נעשית בידי LibreOffice אלא בידי GStreamer, הרכיב שמטפל במדיה כמעט בכל הפצה.
קובץ המדיה שאליו מקשרים אינו חייב להיות שמע או וידאו. הוא יכול להיות רשימת השמעה, כלומר קובץ שכל מה שיש בו הוא רשימה של כתובות לנגן בזו אחר זו. הפורמט שהרשומה נוקבת בו הוא HLS. לפי הרשומה, GStreamer הלך אחרי הרשימה הזאת וקרא את מה שהיא מונה, גם קבצים על המחשב וגם כתובות ברשת, בזמן שהמסמך נטען, והתוכן שנקרא היה יכול להגיע אל תוך המסמך.
זה גם מה שהופך את זה לחולשת חשיפת מידע ולא לתקלה בנגינה. הסיווג הוא CWE-200, והווקטור מסמן VC:H לצד SC:H: החשיפה גבוהה, והיא נוגעת גם למה שמחוץ לתוכנה עצמה. הסימון UI:P נשאר, כלומר צריך שמישהו יפתח את המסמך.
בגרסאות המתוקנות, לפי הרשומה, LibreOffice אינו הולך עוד אחרי רשימות השמעה שמצביעות על משאבים נוספים, ומדיה מקושרת עברה לשליטת מנגנון עדכון הקישורים.
מי מושפע?
כאן יש הגבלה אמיתית ושווה לומר אותה במפורש: הרשומה מתארת את ההתנהגות הזאת בלינוקס, שבו הנגינה עוברת דרך GStreamer. מי שעובד ב-LibreOffice על Windows או על macOS אינו נמצא בתיאור הזה.
הגרסאות אינן מופיעות ברשומה. הן נמצאות בהודעת האבטחה של LibreOffice.
בישראל זה מצמצם את הקהל למי שלינוקס הוא שולחן העבודה היומי שלו: מפתחים, אנשי מערכות, חלק מהאקדמיה וארגונים שבחרו בלינוקס לתחנות העבודה. זה קהל קטן מכלל משתמשי LibreOffice, ולכן עדיף לומר את זה בפירוש מלהשאיר את כל השאר בספק.
האם מנוצלת בפועל?
אין ידיעה על ניצול בשטח. החולשה אינה נמצאת בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הרשימה של החולשות שידוע שתוקפים משתמשים בהן, וזה המצב נכון לעדכון האחרון של הדף.
מה עושים?
הגרסה לעלות אליה מופיעה בהודעת האבטחה שקושרה למעלה, וזה הצעד הראשון. שני הדברים שהשתנו בה הם שהתוכנה אינה הולכת אחרי רשימות השמעה שמצביעות על משאבים נוספים, ושמדיה מקושרת נמצאת תחת מנגנון עדכון הקישורים.
המנגנון השני הוא מה שמשאיר לכם שליטה, ולכן השאלה שהתוכנה שואלת לפני שהיא מעדכנת קישורים במסמך אינה הפרעה. במסמך שהגיע מבחוץ, התשובה היא לא לעדכן.
ואם הגיע אליכם מסמך שמכיל שמע או וידאו מקושרים ולא ברור למה הם שם, זה גם הסימן לבדוק מה הקישור מצביע עליו לפני שמנגנים אותו. מדיה שאמורה להיות חלק מהמסמך מוטמעת בו בדרך כלל, ולא נשלפת מכתובת חיצונית בזמן הטעינה.