【误差通告】LibreOffice 7月多个清静误差

宣布时间 2022-07-29

0x00 误差概述

2022年7月25日，，LibreOffice宣布清静通告，，修复了LibreOffice软件中的多个清静误差，，这些误差可能导致信息泄露或代码执行。。。。。。

 

0x01 误差详情

LibreOffice是一款免费且功效强盛的办公套件，，它是OpenOffice.org办公套件衍生版。。。。。。

LibreOffice近期修复的3个误差如下：

CVE-2022-26306：LibreOffice加密清静误差

LibreOffice 支持将 Web 毗连的密码存储在用户的设置数据库中，，存储的密码使用用户提供的单个主密钥举行加密。。。。。。在受影响的LibreOffic版本中，，由于加密所需的初始化向量始终相同，，导秩蚊清静性被削弱，，能够会见用户设置数据的恶意用户可以在不知道主密码的情形下恢复 Web 毗连的密码。。。。。。

CVE-2022-26307：LibreOffice主密钥编码不当误差

LibreOffice 支持将 Web 毗连的密码存储在用户的设置数据库中，，存储的密码使用用户提供的单个主密钥举行加密。。。。。。在受影响的LibreOffic版本中，，由于主密钥编码不当，，导致其entropy从128位减至43位，，能够会见用户设置数据的恶意用户可能会暴力破解存储的密码。。。。。。

CVE-2022-26305：LibreOffic证书验证误差

LibreOffice 支持宏的执行，，默认情形下，，仅当宏存储在受信任的文件位置或由受信任的证书署名时，，LibreOffice 才会执行宏。。。。。。为此，，LibreOffice 会将证书与存储在用户设置数据库中的受信任证书列表举行校验。。。。。。但在受影响的LibreOffic版本中，，由于证书验证不准确，，可以通过伪造证书执行包括在不受信任的宏中的恣意代码。。。。。。此误差已在LibreOffice 版本7.2.7、7.3.2及更高版本中修复。。。。。。

 

影响规模

LibreOffice 版本< 7.2.7

LibreOffice 版本< 7.3.3

 

0x02 处置惩罚建议

现在这些误差已经修复，，受影响用户可以升级到LibreOffice 版本7.2.7、7.3.3或更高版本。。。。。。

下载链接：

https://www.libreoffice.org/download/download/

 

0x03 参考链接

https://www.libreoffice.org/about-us/security/advisories/

https://www.libreoffice.org/about-us/security/advisories/cve-2022-26305/

https://www.libreoffice.org/about-us/security/advisories/cve-2022-26306/

 

0x04 更新版本

版本

日期

修改内容

V1.0

2022-07-29

首次宣布

 

0x05 附录

人生就是博简介

人生就是博建设于1996年，，是由留美博士严望佳女士建设的、拥有完全自主知识产权的信息清静高科技企业。。。。。。是海内最具实力的信息清静产品、清静效劳解决计划的领航企业之一。。。。。。

公司总部位于北京市中关村软件园人生就是博大厦，，公司员工近4000人，，研发团队1200余人, 手艺效劳团队1300余人。。。。。。在天下各省、市、自治区设立分支机构六十多个，，拥有笼罩天下的销售系统、渠道系统和手艺支持系统。。。。。。公司于2010年6月23日在深圳中小板挂牌上市。。。。。。（股票代码：002439）

多年来，，人生就是博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，资助客户周全提升其IT基础设施的清静性和生产效能，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。

 

关于人生就是博

人生就是博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。

关注以下公众号，，获取全球最新清静资讯：

image.png