The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Уязвимость в LibreOffice, позволяющая выполнить скрипт через подстановку ссылки в документ"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Уязвимость в LibreOffice, позволяющая выполнить скрипт через подстановку ссылки в документ"  +/
Сообщение от opennews (??), 06-Мрт-25, 09:30 
Раскрыта информация об  уявзвимости (CVE-2025-1080), позволяющей добиться  выполнения произвольного  скрипта  без вывода предупреждения пользователю при переходе по специально подготовленной ссылке в документе или при срабатывании определённого события во время работы с документом. Проблеме присвоен высокий уровень опасности (7.2 из 10). Уязвимость устранена в недавних обновлениях LibreOffice 24.8.5 и 25.2.1...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=62836

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 06-Мрт-25, 09:30   +1 +/
Сколько можно намайнить битков, заставив пользователя кликать на ссылки?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #5

2. Сообщение от X86 (ok), 06-Мрт-25, 09:34   +/
Примерно 1-2.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #11, #18, #19

4. Сообщение от Анонимище (?), 06-Мрт-25, 09:50   +6 +/
Это дофига, если что. Очень дофига.Без иронии
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

5. Сообщение от Аноним (5), 06-Мрт-25, 09:53   +1 +/
Теперь Libre Office не удастся выполнить скрипт через постановку ссылки в документ.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

6. Сообщение от Аноним (-), 06-Мрт-25, 09:53   +/
URI, URL и URN не одно и то же. Замечу что многие разработчики не задумываясь используют библиотеки и тем не менее тестируют только то что используют, а не то что возможно. Хотя извините, читать в чем именно проблема CVE нет времени.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8

8. Сообщение от Аноним (11), 06-Мрт-25, 10:07   –3 +/
> URI, URL и URN не одно и то же. Замечу что многие
> разработчики не задумываясь используют библиотеки и тем не менее тестируют только
> то что используют, а не то что возможно. Хотя извините, читать
> в чем именно проблема CVE нет времени.

Тестированием библиотек которые используются в разработке должен отдел безопасности, а не разработчик.  Если какой-то разработчик использует неисвестные библиотеки, а потом его программу используют, то это чья проблема? Конечного пользователя?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

10. Сообщение от Аноним (10), 06-Мрт-25, 10:18   –1 +/
не уязвимость, а штатный бэкдор.

>Уязвимость вызвана возможностью обращения к специфичной для LibreOffice URI-схеме вызова макросов 'vnd.libreoffice.command:'

Молодцы чё: одну пофиксили - остальные оставили.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12

11. Сообщение от Аноним (11), 06-Мрт-25, 10:19   +/
А есть гайд, как это сделать, друг интересуется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

12. Сообщение от Аноним (11), 06-Мрт-25, 10:20   +/
В общем доступе существует редакция комюнити эдишен или как-то так. Интересно, есть ли кроваво-энтерпрайзная и если да, то фиксят ли в ней дыры быстрее?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

13. Сообщение от Аноним (13), 06-Мрт-25, 10:31   +/
Хорошо что в ламповом ОпенОфисе этой уязвимости нет!
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14

14. Сообщение от Аноним (11), 06-Мрт-25, 10:38   +1 +/
> Хорошо что в ламповом ОпенОфисе этой уязвимости нет!

А чего в нём ещё нет?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #20, #23

15. Сообщение от Аноним (-), 06-Мрт-25, 10:44   +2 +/
>Уязвимость вызвана возможностью обращения к специфичной для LibreOffice URI-схеме вызова макросов 'vnd.libreoffice.command:' в реализации URI-схем для интеграции с сервером MS SharePoint.

Такое всегда случается с теми, кто связывается с продуктами Microsoft.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

16. Сообщение от Алконим (?), 06-Мрт-25, 10:49   +1 +/
Я один думаю что скрипты в документах это одна из больших ошибок, я прекрасно понимаю юскейсы, но для меня это все равно кажется ошибочным решением
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

17. Сообщение от Аноним (11), 06-Мрт-25, 10:58   +/
Да нету в них ничего страшного, если внутри компании используются или если отдел ИБ работает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #21, #29

18. Сообщение от Аноним (11), 06-Мрт-25, 11:00   –1 +/
1 Биткоин сейчас стоит 91 290$ 8.529.154,87 руб.
Внимание вопрос, как это сделать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #47

19. Сообщение от Аноним (11), 06-Мрт-25, 11:02   +/
в этих ваших инетрнетах пишут что майнинг через браузер не актуальный вариант.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #22

20. Сообщение от Аноним (20), 06-Мрт-25, 12:17   +3 +/
И чего в нём только нет: этого нет, того нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

21. Сообщение от Аноним (20), 06-Мрт-25, 12:21   +/
Даже если любые флешки в корпоратиный комп не засунуть, но, ведь, можно корпоративную в сторонний ком. И таки, притащить специальным образом сформированный документик.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #48

22. Сообщение от Аноним (22), 06-Мрт-25, 12:39   +2 +/
Майнинг уже давно ни на чём, кроме асиков, не актуален.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #46

23. Сообщение от Аноним (23), 06-Мрт-25, 12:47   +/
В нем нет поддержки 64-разрядной Windows.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #24

24. Сообщение от Аноним (22), 06-Мрт-25, 12:58   +/
Странно, у меня работает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #25, #27

25. Сообщение от Аноним (23), 06-Мрт-25, 13:31   +1 +/
Работать 32-разрядным OO в 64-разрядной WIN никто и не мешает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #33

26. Сообщение от Аноним (26), 06-Мрт-25, 13:48   +/
> для интеграции с сервером MS SharePoint

никогда не понимал эту логику опенсорсников, интегрировать с продуктами мс

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28

27. Сообщение от Прохожий (??), 06-Мрт-25, 13:59   +1 +/
32-разрядный MS Office 2007 (его не бывает 64-разрядного) тоже без проблем работает в 64-разрядной WIN 10.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30

28. Сообщение от Прохожий (??), 06-Мрт-25, 14:03   +/
100% документированной функциональности LibreOffice обеспечены только под Windows. В других системах есть ограничения. Впрочем 100% функциональности MS Office также обеспечиваются только под Windows (в сравнении имеются в виду нативные версии под другими ОС).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

29. Сообщение от Прохожий (??), 06-Мрт-25, 14:04   +/
Полагаю, компаниям нет смысла беспокоиться из-за проблем в сабже, ибо используют они исключительно MSO.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #38

30. Сообщение от Аноним (30), 06-Мрт-25, 14:14   +/
А русскоязычные словари Вы сторонние ставили? Или по какой причине пользуетесь самой ущербной версией MS Office? Даже 2003 корректнее и стабильнее. В крайнем случае Office XP, если Вам нужна обрубленная древность - всё лучше, чем Office 2007. А если поновее, то 2010 вполне отлично работает на Windows от XP до 11.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #31, #37, #53

31. Сообщение от Прохожий (??), 06-Мрт-25, 14:31   +/
У меня 2010 стандартный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #34

32. Сообщение от Аноним (32), 06-Мрт-25, 15:49   +/
https://chromewebstore.google.com/detail/gbkeegbaiigmenfmjfc.../
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

33. Сообщение от Аноним (22), 06-Мрт-25, 15:55   +/
И о чём тогда ваше сообщение? Что нет 64-разрядной версии? Так даже MS до недавнего времени (а может, и сейчас) советовал 32-битный свой офис.
Вообще, пока Intel не выпилит из x86 32 бита (а это на нашем веку вряд ли произойдёт), переход всего и вся на 64 бита — не самоцель.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #39, #49

34. Сообщение от Аноним (22), 06-Мрт-25, 16:01   +/
У меня 2024 и мне норм. Работает как бы не шустрее 2007-го.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

35. Сообщение от Bottle (?), 06-Мрт-25, 16:21   +/
Очередное доказательство того, что подключение любой софтины, утюга и чайника к интернету не есть хорошо.
Ответить | Правка | Наверх | Cообщить модератору

37. Сообщение от Аноним (37), 06-Мрт-25, 16:42   +/
Ну вы загнули... Office 2007 топ. и самый распространённый офис в универах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #41

38. Сообщение от Аноним (20), 06-Мрт-25, 18:05   +/
Им стоит беспокоиться о гораздо больших проблемах.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #40

39. Сообщение от Аноним (20), 06-Мрт-25, 18:08   +/
X86S
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #52

40. Сообщение от Аноним (40), 06-Мрт-25, 18:32   +/
Каких, например? А то я работал в прошлом году в одной компании из TOP500, там все рабочие станции на МС Виндоус, с Офисом и вот этим всем. И что-то они там не беспокоятся об этом особо. Может им подсказать чего?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #43

41. Сообщение от Аноним (41), 06-Мрт-25, 20:30   +/
Кстати, до сих пор получает обновления безопасности (если включить обновление).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

43. Сообщение от Аноним (43), 06-Мрт-25, 20:35   –1 +/
499-я ? Ок. Но это очень смело называться топ500. Да и просто потому, что ИБ там вообще никому не vsралась.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

45. Сообщение от Аноним (45), 06-Мрт-25, 20:59   +/
Как хорошо, что в AOO нет этого всего. Настоящий офисный продукт от ТРУЪ инторпрайз корпорации, в то время как LO пишут энтузиасты по фану, то есть солиднее юзать AOO, а не новомодное сму зи LO.
Ответить | Правка | Наверх | Cообщить модератору

46. Сообщение от Анонимище (?), 06-Мрт-25, 21:17   +/
Исключение составляет майнинг на халявном оборудовании и электричестве, что как раз так в случае зловредов. Да, доход с одного устройства будет мал, ну так и затраты нулевые, плюс ботнет всегда может расти
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #51

47. Сообщение от Аноним (-), 06-Мрт-25, 21:41   –1 +/
C 2011 года намайнить биткоин на компьютере нераельно. Надо строить ферму с асиками, да и дешёвое электричество надо.  А в России это невозможно, посадят. Не ну власти сами-то майнят.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

48. Сообщение от Фрол (?), 07-Мрт-25, 01:36   +1 +/
Я как-то монтировал сеть в одном интересном заведении, так там даже джеки к езернет картам буквально под печатью пластилиновой были.

Много ты натаскаешь в такой конторе, если под ихним забором в некоторых местах даже машину не припаркуешь, через три минуты вооруженная охрана подьедет документы проверять.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #50

49. Сообщение от Аноним (23), 07-Мрт-25, 09:24   +/
А ваше в чем сообщение? Отвлекаете людей от работы неверными сведениями про 32-битный офис.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

50. Сообщение от АлексеМиКemail (?), 07-Мрт-25, 20:38   +/
И правильно делают.
Волшебные буквы  ГБ
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

51. Сообщение от Аноним (22), 07-Мрт-25, 21:07   +/
Для мало-мальски вменяемого выхлопа _очень_ солидный ботнет нужен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

52. Сообщение от Аноним (22), 07-Мрт-25, 21:09   +/
Это тот, который умер, не успев родиться?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

53. Сообщение от Аноним (41), 08-Мрт-25, 10:32   +/
> А русскоязычные словари Вы сторонние ставили?

Мне совершенного знания трех языков достаточно, чтобы не использовать данные компоненты.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #55

54. Сообщение от Аноним (41), 08-Мрт-25, 11:45   –1 +/
Сейчас посмотрел. В данный момент сайты LO и OO заблокированы.
Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от Аноним (22), 08-Мрт-25, 14:56   +/
И опечаток вы не допускаете, конечно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53


Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру