CVE-2024-12425

چکیده

یک آسیب‌پذیری در LibreOffice از بخش مستندات (The Document Foundation) تا نسخه 24.8.3 شناسایی شده است. این آسیب‌پذیری منجر به Path Traversal (مسیر عبور)می‌شود. این آسیب‌پذیری با شناسه CVE-2024-12425 ثبت شده است.

حمله می‌تواند از راه دور انجام شود. توصیه می‌شود که بخش آسیب‌دیده را به نسخه‌ی جدیدتر ارتقا دهید.

توضیحات

بر اساس CWE-22، این آسیب‌پذیری زمانی رخ می‌دهد که محصول از ورودی‌های خارجی برای ساخت مسیر فایل استفاده می‌کند، اما به درستی عناصر خاص مسیر را خنثی نمی‌کند، که می‌تواند باعث شود مسیر به محلی خارج از دایرکتوری محدود شده ارجاع شود. این آسیب‌پذیری بر محرمانگی، یکپارچگی و دسترسی‌پذیری تأثیر می‌گذارد.

آسیب‌پذیری محدودیت نادرست مسیر به دایرکتوری‌های محدود (‘Path Traversal’) در LibreOffice اجازه می‌دهد که به صورت مطلق به مسیرهای مختلف دسترسی پیدا کنید. یک مهاجم می‌تواند با ارائه یک فایل در فرمت‌هایی که از فایل‌های فونت (با پسوند “.ttf”)، دسترسی نوشتن را بدست آورد. این آسیب‌پذیری بر نسخه‌های LibreOffice از 24.8 قبل از 24.8.4 تأثیر می‌گذارد.

اکسپلویت این آسیب پذیری آسان است. حمله می‌تواند از راه دور انجام شود و برای اکسپلویت نیازی به احراز هویت نیست. تنها چیزی که نیاز است، تعامل کاربر و قربانی است.

این آسیب‌پذیری در MITRE ATT&CK تحت تکنیک T1006 شناخته شده است.

CVSS

 لیست محصولات آسیب پذیر

 لیست محصولات بروز شده

نتیجه گیری

بروزرسانی به نسخه 24.8.4 این مشکل را برطرف می کند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2024-12425
2. https://www.cvedetails.com/cve/CVE-2024-12425/
3. https://www.libreoffice.org/about-us/security/advisories/cve-2024-12425
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2024-12425
5. https://vuldb.com/?id.290553
6. https://nvd.nist.gov/vuln/detail/CVE-2024-12425
7. https://cwe.mitre.org/data/definitions/22.html