RNP > Serviços > Segurança em redes > Alertas do CAIS

Múltiplas vulnerabilidades no OpenOffice (SA20867)

Secunia SA20867

[CAIS, 03.07.2006-16:38]

O CAIS está repassando o alerta da Secunia, intitulado "OpenOffice Multiple Vulnerabilities (SA20867)", que trata de três vulnerabilidades no OpenOffice, um pacote de aplicativos para escritório equivalente ao Microsoft Office, porém gratuito.

As vulnerabilidades no OpenOffice existem devido a:

1. Um erro no manuseio de certos applets em Java dentro de documentos no formato do OpenOffice. A vulnerabilidade pode permitir que applets maliciosos em Java obtenham acesso total ao sistema, se utilizando das mesmas permissões de acesso do usuário registrado no sistema.
2. Um erro existente no manuseio de Macros dentro de documentos, o que pode levar à execução de código malicioso em Basic com acesso total ao sistema vulnerável, sem qualquer aviso ao usuário registrado no sistema.
3. Um erro na checagem de limites no manuseio de certos documentos XML. A vulnerabilidade pode ser explorada de forma a causar um estouro de buffer (área da memória para armazenamento de dados), possibilitando a execução de código arbitrário no sistema.

Sistemas afetados

• OpenOffice 1.1.x
• OpenOffice 2.0.x

Correções disponíveis

Recomenda-se fazer a atualização para as versões disponíveis em:

• OpenOffice 1.1.x - Uma correção para a versão 1.1.5 será divulgada em breve. O fabricante recomenda que seja desabilitada a execução de Applets em Java como medida paliativa. Veja "OpenOffice.org - Security Bulletin 2006-06-29", na seção "Mais informações" deste alerta.
• OpenOffice 2.0.x - O OpenOffice deve ser atualizado para a versão 2.0.3

Mais informações

• SA20867 - OpenOffice Multiple Vulnerabilities
• OpenOffice.org - Security Bulletin 2006-06-29
• SANS ISC Handler's Diary June 30th 2006 - OpenOffice.org Vulnerabilities

Identificador CVE (http://cve.mitre.org): CVE-2006-2198, CVE-2006-2199, CVE-2006-3117

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais