Ahora hay disponible una microparche para una vulnerabilidad de ejecución de código de OpenOffice de día cero que se puede activar mediante la ejecución automatizada de macros después de un evento de mouseover cuando se ve un documento ODT creado con fines malintencionados
Al usar un exploit para esta vulnerabilidad de día cero, los atacantes potenciales pueden emitir un ataque transversal de directorio contra los usuarios de todas las versiones de OpenOffice y todas las versiones de LibreOffice hasta 6.0.6 / 6.1.2.1 inclusive.
Sin embargo, OpenOffice 0day, que actualmente se registra como CVE-2018-16858 y recibió un puntaje base CVSS3 de 7.8 de Red Hat , fue corregido por The Document Foundation en la versión de LibreOffice 6.0.7 / 6.1.3 después de recibir un informe de El investigador de seguridad Alex Inführ que descubrió el problema.
El investigador también creó y publicó una Prueba de concepto para CVE-2018-16858 en forma de extensión FODT que también cargó en el servicio de análisis de malware VirusTotal.
Según Inführ, la vulnerabilidad de día cero de OpenOffice impacta a LibreOffice debido a que "una característica en la que los documentos pueden especificar que las macros preinstaladas se pueden ejecutar en varios eventos de documentos, como el mouse-over", como se detalla en la falla general del directorio en la advertencia de ejecución de scripts publicado por The Document Foundation el 1 de febrero.
Si bien esta falla del software OpenOffice afecta a las versiones de Linux y Windows del programa, el micropatch desarrollado por ACROS Security, la compañía detrás de la plataforma 0patch , solo se puede usar para parchar la versión de Windows OpenOffice.
Como es habitual, la aplicación de la micropatch de 0patch no requerirá que los usuarios reinicien el sistema o reinicien OpenOffice, con el efecto inmediato porque es una solución en memoria para los procesos en ejecución.
El micropatch creado y distribuido por 0patch se puede descargar y aplicar después de crear una cuenta en 0patch.com, descargar el Agente 0patch y registrar el agente en el dispositivo.
Fecha actualización el 2021-02-14. Fecha publicación el 2019-02-14. Categoría: vulnerabilidad Autor: Oscar olg Mapa del sitio Fuente: bleempingcomputer