Вредоносная таблица запускает код в LibreOffice и OpenOffice без предупреждения о макросах

Исследователи в области безопасности продемонстрировали, что вредоносная электронная таблица способна заставить LibreOffice и Apache OpenOffice выполнить произвольный код сразу при открытии файла. Привычного предупреждения, которое оба пакета показывают перед запуском макросов, при этом не возникает.

Атака работает только при включённой в программе поддержке Java. Пока она представлена лишь как proof of concept, случаев её применения в реальных нападениях не зафиксировано.

Разные судьбы двух проектов

LibreOffice уже устранил уязвимость, которую отслеживает как CVE-2026-63277, в обновлениях от 5 октября. Пользователям рекомендуют перейти на версию 26.2.5 или 26.8.0; более ранние выпуски затронуты.

Apache OpenOffice аналогичную проблему (CVE-2026-59265) ещё не закрыл. Уязвимы все версии вплоть до текущей 4.1.16; исправление ожидается в выпуске 4.1.17, который пока тестируется. До тех пор пользователям советуют отключить Java в настройках программы либо не открывать таблицы из ненадёжных источников.

Как складывается атака

Атака соединяет функции, каждая из которых сама по себе работает штатно. Таблица Calc может содержать «диапазон базы данных» — блок ячеек, который подтягивает данные из внешнего источника и обновляет их самостоятельно. Этим источником может быть отдельный файл базы данных формата ODB, указанный веб-адресом, вписанным прямо в таблицу.

При открытии документа диапазон обновляется, и программа скачивает ODB по указанному адресу. В ODB может быть назван драйвер базы данных Java (JDBC) и указано местоположение его кода — JAR-файл, который тоже может лежать на удалённом сервере. Программа загружает JAR и запускает драйвер — то есть код злоумышленника — внутри самого приложения.

По словам исследователей, беда именно в том, что все эти штатные механизмы вместе приводят к исполнению кода, ни разу не спросив пользователя о доверии к документу — в отличие от запуска макросов.

Демонстрация

В демонстрации драйвер просто открывает приложение «Калькулятор» — безобидная заглушка, но тем же путём можно запустить любой код на Java. Атаку проверили в Windows и Linux; к конкретной операционной системе она не привязана. Для удобства вредоносные файлы в опыте лежали на той же машине, однако в реальной атаке база данных и код размещались бы на сервере злоумышленника.

Уязвимость в LibreOffice независимо сообщили Рик де Ягер из команды V12 и Томас Ринсма с Эдоардо Джераци из Codean Labs; аналогичную проблему в OpenOffice Apache приписывает Codean Labs. Команда V12 опубликовала proof of concept для обеих программ, а исправление для LibreOffice написал Каолан Макнамара из Collabora Productivity.

Источник: The Hacker News