2021-1995: Apache OpenOffice: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2021-10-07 17:12)

Neues Advisory

Version 2 (2021-10-08 12:40)

Apache hat nun detailliertere Informationen zu den drei Schwachstellen veröffentlicht. Nach Information des Herstellers existieren bislang lediglich Proof-of-Concepts, es sind aber keine Exploits bekannt. Dennoch wird ein Update dringend empfohlen.

Version 3 (2021-10-11 17:03)

Der Hersteller informiert über drei weitere Schwachstellen, die mit Apache OpenOffice 4.1.11 adressiert wurden. Die Schwachstellen ermöglichen es einem Angreifer, signierte Dokumente und Makros so zu manipulieren, dass diese aus vertrauenswürdigen Quellen zu kommen bzw. von solchen signiert zu sein scheinen, und den Zeitstempel signierter Dokumente zu verändern. Der Angreifer kann dadurch lokal falsche Informationen darstellen, wodurch weitere Angriffe möglich sind.

Betroffene Software

Office

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen lokal ausnutzen, um Privilegien zu eskalieren, beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Zwei Schwachstellen erfordern die Interaktion eines Benutzers.

Die Schwachstellen betreffen alle Versionen der Software bis einschließlich OpenOffice 4.1.10 sowie möglicherweise den Vorgänger OpenOffice.org (OOo). Zur Behebung der Schwachstelle empfiehlt der Hersteller ein Update auf Version 4.1.11.

Schwachstellen:

CVE-2021-28129

Schwachstelle in Apache OpenOffice ermöglicht Privilegieneskalation

CVE-2021-33035

Schwachstelle in Apache OpenOffice ermöglicht Ausführen beliebigen Programmcodes

CVE-2021-40439

Schwachstelle in Apache OpenOffice ermöglicht Denial-of-Service-Angriff

CVE-2021-41830

Schwachstelle in Apache OpenOffice ermöglicht Darstellung falscher Informationen

CVE-2021-41831

Schwachstelle in Apache OpenOffice ermöglicht Darstellung falscher Informationen

CVE-2021-41832

Schwachstelle in Apache OpenOffice ermöglicht Darstellung falscher Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.