Um eigenen Code auf Computern auszuführen, könnten Angreifer Opfern mit LibreOffice oder OpenOffice erstellte und präparierte Dokumente unterjubeln. Bis zum heutigen Tag haben nur die Entwickler von LibreOffice abgesicherte Versionen veröffentlicht. OpenOffice bleibt verwundbar. Die Linux- und Windows-Versionen sollen betroffen sein.

Die Ausführung kann mit den richtigen Einstellungen ohne weitere Nachfragen passiert, wenn man mit dem Mauszeiger über das Element fährt. Aufgrund der Directory-Traversal-Lücke (CVE-2018-16858) funktioniert das mit allen Skripten auf einem lokalen System.

Ein Angreifer müsste für eine erfolgreiche Attacke einem Opfer ein manipuliertes Office-Dokument neben Python-Skript unterschieben und es zum Öffnen des Dokumentes bewegen. Um die Angriffsfläche zu maximieren, könnte ein Angreifer das Mouse-over-Element so groß anlegen, dass es die gesamte Seite eines Dokumentes ausfüllt.

Die Ausgaben 6.0.7 und 6.1.3 sind laut den LibreOffice-Entwicklern zufolge abgesichert – alle vorigen Versionen sollen verwundbar sein. Von OpenOffice gibt es bislang noch keine gepatchte Ausgabe.

(hv, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE