仅仅在LibreOffice中打开一个文档就可以入侵你的计算机（未修补）

在接下来的几天里，你应该格外小心使用LibreOffice软件打开哪些文档文件。

这是因为LibreOffice包含一个严重的未修补代码执行漏洞，一旦你打开一个恶意创建的文档文件，恶意软件就可能潜入你的系统。

LibreOffice是Microsoft Office suite最受欢迎的开源替代品之一，适用于Windows、Linux和macOS系统。

本月早些时候，LibreOffice发布了其软件的最新版本6.2.5，解决了两个严重漏洞（CVE-2019-9848和CVE-2019-9849），但安全研究人员Alex Inführ称，前者的补丁现已被绕过。

尽管Inführ尚未披露允许他绕过补丁的技术细节，但该漏洞的影响仍然是一样的，如下所述。

1.）CVE-2019-9848：此漏洞仍然存在于最新版本中，它存在于LibreLogo中，LibreOffice默认附带了一个可编程的海龟矢量图形脚本。

LibreLogo允许用户在文档中指定预安装的脚本，这些脚本可以在各种事件（如鼠标悬停）上执行。
Nils Emmerich发现了该漏洞，攻击者可以利用该漏洞制作恶意文档，在不向目标用户显示任何警告的情况下默默执行任意python命令。

Emmerich说：“这里最大的问题是，代码翻译得不好，只提供python代码作为脚本代码，往往会在翻译后产生相同的代码。”。

“使用表单和OnFocus事件，甚至可以在打开文档时执行代码，而无需鼠标悬停事件。”

埃默里奇还在他的博客上发布了这次攻击的概念证明。

2.）CVE-2019-9849：此漏洞可通过安装最新的可用更新来修复，即使启用了“隐藏模式”，也可能允许在文档中包含远程任意内容。

默认情况下不会启用隐藏模式，但用户可以激活它，以指示文档仅从受信任的位置检索远程资源。

如何保护你的系统

Inführ已经将旁路问题通知了LibreOffice团队，但在该团队发布修补程序修复旁路之前，建议用户按照以下步骤更新或重新安装软件，而不使用宏或至少不使用LibreLogo组件。

• 打开安装程序以开始安装
• 选择“自定义”安装
• 展开“可选组件”
• 单击“LibreLogo”并选择“此功能将不可用”
• 单击“下一步”，然后安装软件