Вредоносная таблица может заставить LibreOffice и Apache OpenOffice выполнять код злоумышленника сразу после открытия файла, как показали исследователи безопасности. Предупреждения, подобные тем, которые показывает каждая из программ перед запуском макроса, не возникает.
Атака работает только при включенной поддержке Java в программе. На данный момент она была продемонстрирована только как доказательство концепции, и нет сообщений о ее использовании в реальных атаках.
LibreOffice уже исправил уязвимость, которую отслеживает как CVE-2026-63277, в обновлениях, выпущенных 5 октября. Рекомендуется перейти на версию 26.2.5 или 26.8.0. Версии до этих подвержены уязвимости.
Apache OpenOffice не исправил соответствующую уязвимость, которую отслеживает как CVE-2026-59265. Каждая версия до и включая текущий релиз 4.1.16 подвержена уязвимости, и проект сообщает, что исправление ожидается в версии 4.1.17, которая все еще проходит тестирование.
До тех пор пользователи Apache OpenOffice могут заблокировать атаку, отключив Java в настройках программы или не открывая таблицы, которым они не доверяют.
Атака сочетает в себе функции, каждая из которых работает как задумано сама по себе. Таблица LibreOffice или Apache OpenOffice Calc может содержать "диапазон базы данных", блок ячеек, который получает данные из внешнего источника и обновляет их самостоятельно. Этот внешний источник может быть отдельным файлом базы данных, называемым ODB, имя которого указано веб-адресом, записанным в таблице.
Когда таблица открывается, диапазон обновляется, и программа загружает ODB с этого веб-адреса. ODB может указывать на драйвер базы данных Java, известный как JDBC-драйвер, и указывать, где находится код драйвера, который может быть файлом JAR, пакетом Java-кода или находиться на удаленном сервере. Затем программа загружает JAR и запускает драйвер, который является кодом злоумышленника, внутри самой программы.
Каждая из этих функций является нормальной. Проблема безопасности, по словам исследователей, заключается в том, что вместе они достигают выполнения кода, не спрашивая пользователя о доверии к документу, как программа спрашивает перед запуском макроса.
В доказательстве концепции драйвер просто открывает приложение Калькулятор, безвредный заменитель, но тот же путь может запустить любой Java-код, который выберет злоумышленник. Исследователи протестировали атаку на Windows и Linux и утверждают, что она не привязана к одной операционной системе.
В их демонстрации вредоносные файлы находились на одном и том же компьютере для удобства. Исследователи утверждают, что реальная атака вместо этого разместила бы файл базы данных и код на сервере, контролируемом злоумышленником.
Уязвимость в LibreOffice была независимо сообщена Риком де Ягером из команды безопасности V12 и Томасом Ринсмой и Эдоардо Джерачи из Codean Labs. Apache благодарит Codean Labs за соответствующую уязвимость в OpenOffice. Команда V12 опубликовала доказательство концепции для обеих программ, а Каолан МакНамара из Collabora Productivity написал исправление для LibreOffice.
Hacker News связался с Фондом Документов, который разрабатывает LibreOffice, и проектом Apache OpenOffice для комментариев.
Нравится эта статья? Подписывайтесь на нас в Google News, Twitter и LinkedIn, чтобы читать больше эксклюзивного контента, который мы публикуем.