______________________________________________________________________________________________________________

HackFix.ru - информационный портал,рассказывающий о событиях в области защиты информации,
взломах,инструментах аудита,программировании для пентестеров!

Для 0-day уязвимости в OpenOffice появился неофициальный патч

В начале февраля ИБ-специалист Алекс Инфур (Alex Inführ) сообщил об опасной RCE-уязвимости в составе опенсорсных LibreOffice и Apache OpenOffice (CVE-2018-16858). С помощь. этого бага атакующий может добиться удаленного исполнения произвольного кода через автоматическое исполнение макросов. По сути, для срабатывания атаки пользователь должен просто провести курсором над вредоносной частью документа ODT.

Напомню, что проблема оценивается в 7,8 баллов по шкале CVSS3, и исправление для нее выпустили только разработчики LibreOffice, тогда как «заплатки» для OpenOffice до вчерашнего дня не существовало, хотя PoC-эксплоит был опубликован две недели тому назад.

Теперь патч для уязвимости подготовили специалисты компании ACROS Security, разрабатывающей 0patch. Данная платформа предназначенная как раз для таких ситуаций, то есть исправления 0-day и других непропатченных уязвимостей, для поддержки продуктов, которые уже не поддерживаются производителями, кастомного софта и так далее.

Хотя проблема в OpenOffice затрагивает версии для Linux и Windows, микропатч ACROS Security пока работает только для Windows-версии.

Вместе с исправлением эксперты опубликовали видео, демонстрирующее эксплуатацию уязвимости на примере непропатченного OpenOffice.

источник

Добавить комментарий

Ваш e-mail не будет опубликован.

______________________________________________________________________________________________________________
^ Наверх