ב-2024 תוקנה ב-LibreOffice חולשה שאפשרה למסמך להרכיב כתובת שמתרחבת לערכים מתוך המחשב שפותח אותו, ולשלוח אותם לשרת מרוחק. לפי הרשומה, הבדיקה שנוספה אז לא הגיעה לכל המקומות שבהם מסמך יכול לספק כתובת, ושלושה מהם נשארו פתוחים. הציון הוא 6.7 מתוך 10.

מה החולשה?

כתובת בתוך מסמך אינה בהכרח רק כתובת. LibreOffice יודע להרחיב בתוכה ערכים מתוך הסביבה שבה הוא רץ, כלומר להחליף סימון בערך אמיתי מהמחשב, מתוך משתני סביבה או מתוך ערכים בקובץ ההגדרות שלו. מסמך שמכיל כתובת כזאת מצביע לכאורה על שרת, ומה שבאמת נשלח אל השרת הוא הערך שהוחלף.

הטכניקה הזאת היא מה שתוקן ב-[CVE-2024-12426](/cve/CVE-2024-12426), והתיקון היה בדיקה שאמורה לחסום את ההרחבה כשהכתובת מגיעה מהמסמך. החולשה הנוכחית אינה טכניקה חדשה אלא גילוי שהבדיקה ההיא לא הושלמה.

הרשומה נוקבת בשלושת המקומות שנשארו מחוץ לבדיקה. הראשון הוא נתוני XForms, מנגנון טפסים שבו המסמך מחזיק את הנתונים שלו בנפרד מהתצוגה. השניים האחרים הם ספקי הנתונים csv ו-sql של Calc, כלומר אותם קישורים שמביאים טווח תאים ממקור חיצוני אל תוך הגיליון. בשלושת המקומות האלה, לפי הרשומה, כתובת שבאה מהמסמך עוד הגיעה אל מנגנון ההרחבה.

מה שהשתנה בגרסאות המתוקנות הוא שהמקומות האלה מסרבים לכתובות עם סכמות פנימיות כשהכתובת מגיעה מהמסמך. סכמה היא התחילית שאומרת ל-LibreOffice כיצד לפרש את הכתובת, והפנימיות שבהן הן אלה שפונות אל המנגנונים של התוכנה עצמה במקום להביא קובץ או דף רגיל.

הסיווג הוא CWE-200, חשיפת מידע לגורם לא מורשה, והווקטור מסמן VC:H לצד SC:H: החשיפה גבוהה, והיא אינה נעצרת בתוכנה אלא נוגעת גם למה שסביבה. הסימון UI:P נשאר, כלומר צריך שמישהו יפתח את המסמך.

מי מושפע?

הרשומה אינה מפרטת גרסאות. הן מופיעות בהודעת האבטחה של LibreOffice.

הקהל שכדאי שיקרא את זה הוא דווקא מי שכבר טיפל בעניין פעם אחת. ארגון שעדכן ב-2024 בגלל החולשה הקודמת, סימן את השורה הזאת כסגורה והמשיך הלאה, מחזיק עכשיו גרסה שהטכניקה הזאת עוד עובדת בה דרך שלושה מקומות אחרים. זאת הסיבה המעשית לקרוא דף כזה: לא מפני שמדובר בחולשה חמורה במיוחד, אלא מפני שהיא מבטלת הנחה שכבר הנחתם.

LibreOffice רץ בישראל בעיקר במקומות שבחרו בו כדי לא לשלם על רישיונות, כלומר בחינוך, בעמותות, בחלק מהגופים הציבוריים וגם בבתים. לרבים מהם אין מי שיעקוב אחרי הודעות אבטחה של חבילת אופיס.

האם מנוצלת בפועל?

אין דיווח על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שידוע כי תוקפים מנצלים אותן בשטח, וזה המצב נכון לעדכון האחרון של הדף הזה. על הטכניקה עצמה כן יש מידע ציבורי מ-2024, שהרי היא תוקנה פעם אחת ותועדה אז.

מה עושים?

1. בדקו איזו גרסה מותקנת. ב-LibreOffice זה תחת עזרה ואז אודות, והמספר שמופיע שם הוא מה שצריך להשוות אל הודעת האבטחה שקושרה למעלה.
2. עדכנו לגרסה שההודעה ההיא נוקבת בה. אם העדכון האחרון שעשיתם היה בגלל החולשה מ-2024, הגרסה שבידיכם אינה מכסה את מה שתואר כאן, וזאת הנקודה.
3. במסמך שהגיע מבחוץ, אל תאשרו עדכון קישורים. שניים משלושת המקומות שברשומה הם קישורי נתונים של Calc, ו-LibreOffice שואל לפני שהוא מעדכן קישורים במסמך. השאלה הזאת היא ההגנה, ובמסמך שלא אתם יצרתם התשובה היא לא.
4. אם אתם מנהלים התקנה בארגון, בדקו גם את הגרסאות שעל המכשירים שאינם בניהול מרכזי. חבילת אופיס חופשית מותקנת לא פעם ביד, והיא אינה מתעדכנת לבד.