OpenOffice 和 LibreOffice 爆出3个重大数字签名欺骗漏洞

LibreOffice 和 OpenOffice 的维护者已经为其生产力软件提供了安全更新，以修复多个漏洞，恶意行为者可能会利用这些漏洞来改变文档，使其看起来好像是由可信来源进行数字签名的。

三个漏洞的列表如下：

• CVE-2021-41830 / CVE-2021-25633 – 双证书攻击的内容和宏操作
• CVE-2021-41831 / CVE-2021-25634 – 带有签名包装的时间戳操作
• CVE-2021-41832 / CVE-2021-25635 – 带有证书验证攻击的内容操纵

成功利用这些漏洞可能允许攻击者操纵签名的 ODF 文档的时间戳，更糟糕的是，更改文档的内容或使用不受信任的签名对文档进行自签名，然后对其进行调整以将签名算法更改为无效或未知算法。

在后两种攻击场景中，由于不正确的证书验证，LibreOffice 错误地显示了一个有效签名的指示符，表明该文档自签名以来未被篡改，并将具有未知算法的签名呈现为由受信任的一方。

这些发现是波鸿鲁尔大学研究人员发现的一系列漏洞中的最新一个，并遵循了今年早些时候披露的类似攻击技术，这些漏洞可能使攻击者能够通过在认证内容上显示恶意内容来修改认证 PDF 文档的可见内容，而无需使其签名无效。

这些漏洞已在OpenOffice 4.1.11 版和 LibreOffice 7.0.5、7.0.6、7.1.1和 7.1.2版中得到修复。建议 LibreOffice 和 OpenOffice 的用户更新到最新版本，以降低与漏洞相关的风险。