Описание
Уязвимость реализации схемы vnd.libreoffice.command пакета офисных программ LibreOffice связана с возможностью вызова внутренних макросов с произвольными аргументами. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Вендор
ООО «РусБИТех-Астра»
The Document Foundation
АО «НППКТ»
АО «Концерн ВНИИНС»
Наименование ПО
Astra Linux Special Edition
LibreOffice
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 7.3.6 (LibreOffice)
до 7.4.1 (LibreOffice)
до 2.7 (ОСОН ОСнова Оnyx)
до 20.10.2023 (ОС ОН «Стрелец»)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НППКТ» ОСОН ОСнова Оnyx до 2.7
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 20.10.2023
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- ограничение возможности запуска макросов;
- блокирование выполнения URI-команд;
- открытие документов только из доверенных источников.
Использование рекомендаций производителя:
https://www.libreoffice.org/about-us/security/advisories/CVE-2022-3140
Для ОСОН ОСнова Оnyx (версия 2.7):
Обновление программного обеспечения libreoffice до версии 4:7.4.5+repack-1~bpo11+1osnova1
Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libreoffice до версии 1:6.1.5+repack-3+deb10u8.strelets1
Для Astra Linux 1.6 «Смоленск»:
обновить пакет libreoffice до 1:6.4.7-0ubuntu0.20.04.7+ci202305311407+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 94%
0.06962
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
больше 3 лет назад
ALT-PU-2023-1241: package `LibreOffice` update to version 7.4.2.3-alt4
CVSS3: 9.8
altlinux
почти 4 года назад
ALT-PU-2022-3174: package `LibreOffice-still` update to version 7.3.7.2-alt1
CVSS3: 9.8
altlinux
около 4 лет назад
ALT-PU-2022-2956: package `LibreOffice` update to version 7.4.2.1-alt1
CVSS3: 9.8
altlinux
около 4 лет назад
ALT-PU-2022-2841: package `LibreOffice-still` update to version 7.3.6.2-alt2
CVSS3: 9.8
altlinux
около 4 лет назад
ALT-PU-2022-2695: package `LibreOffice-still` update to version 7.3.6.2-alt1
EPSS
Процентиль: 94%
0.06962
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2