CVE-2024-5261

LibreOffice wewnętrznie korzysta z biblioteki curl do pobierania zdalnych zasobów, takich jak obrazy hostowane na serwerach WWW. W wersjach podatnych, gdy LibreOffice działał w trybie LibreOfficeKit, opcja curl CURLOPT_SSL_VERIFYPEER była ustawiona na false, co oznaczało całkowite pominięcie weryfikacji certyfikatu serwera TLS. Atakujący mający możliwość przeprowadzenia ataku man-in-the-middle mógł podszywać się pod dowolny serwer zdalny bez wykrycia przez aplikację. W poprawionych wersjach tryb LibreOfficeKit działa identycznie jak tryb standardowy — z włączoną opcją CURLOPT_SSL_VERIFYPEER ustawioną na true.

Atakujący może przeprowadzić atak man-in-the-middle, przechwytując lub modyfikując zasoby pobierane przez LibreOffice (np. zdalne obrazy), a także potencjalnie wstrzykiwać złośliwą zawartość do przetwarzanych dokumentów. Brak weryfikacji tożsamości serwera naraża poufność i integralność danych przesyłanych przez szyfrowane połączenia TLS.

Należy zaktualizować LibreOffice do wersji 24.2.4 lub nowszej, w której opcja CURLOPT_SSL_VERIFYPEER jest prawidłowo ustawiona na true również w trybie LibreOfficeKit. Szczegóły dostępne w komunikacie bezpieczeństwa producenta: https://www.libreoffice.org/about-us/security/advisories/cve-2024-5261

LibreOffice w wersji przed 24.2.4, wyłącznie w trybie LibreOfficeKit (wykorzystywanym przez komponenty zewnętrzne korzystające z LibreOffice jako biblioteki C/C++)

Podatność dotyczy wyłącznie zastosowań LibreOffice jako biblioteki w trybie LibreOfficeKit — standardowe instalacje desktopowe LibreOffice nie są dotknięte tym problemem, o ile nie korzystają z interfejsu LibreOfficeKit.