اگر شما هم از آن دسته کسانی هستید که از مجموعه‌ی اداری آزاد و متن‌باز لیبره‌آفیس (LibreOffice) استفاده می‌کنید، باید یک‌بار دیگر آن را به‌روز نمایید. طبق گزارش‌ها، توسعه‌دهندگان نرم‌افزار لیبره‌آفیس به‌منظور وصله‌کردن سه آسیب‌پذیری جدید که امکان دورزدن دو آسیب‌پذیری وصله‌شده را برای مهاجمان فراهم می‌کنند، نسخه‌ی ۶٫۳٫۰/۶٫۲٫۶ این نرم‌افزار را منتشر کرده‌اند. لیبره‌آفیس یکی از نرم‌افزارهای محبوب و جایگزین متن‌باز برای مجموعه‌ی آفیس مایکروسافت است که برای سیستم عامل‌های های ویندوز، لینوکس و macOS در دسترس می‌باشد.
از میان دو آسیب‌پذیری وصله‌شده‌ی مذکور، آسیب‌پذیری اول که با شناسه‌ی CVE-2019-9848 ردیابی شده و در ماه ژوئیه وصله شده بود، یک نقص اجرای کد است که LibreLogo، یک اسکریپت گرافیکی turtle vector قابل‌برنامه‌ریزی که به‌طور پیش‌فرض بر روی نرم‌افزار لیبره‌آفیس وجود دارد، را تحت تأثیر قرار می‌دهد. این اشکال امنیتی به مهاجم اجازه می‌دهد تا با ایجاد یک سند مخرب بدون نمایش هیچ‌گونه اخطاری برای کاربر هدف، در سکوت دستورهای دلخواه به زبان برنامه‌نویسی پایتون را اجرا کند.
ظاهراً وصله‌ی منتشرشده برای این آسیب‌پذیری کافی نبوده است، چراکه اواخر ماه گذشته گزارش شد که دو محقق امنیتی به‌صورت جداگانه توانسته‌اند این وصله را دور زده و با بهره‌برداری از دو آسیب‌پذیری جدید، مجدداً حمله را انجام دهند.
- آسیب‌پذیری جدید اول که با شناسه‌ی CVE-2019-9850 ردیابی شده و توسط محقق امنیتی Alex Inführ کشف شده است، به‌دلیل اعتبارسنجی ناکافی URL ایجاد شده و به مهاجم اجازه می‌دهد تا با دورزدن وصله‌ی منتشرشده برای آسیب‌پذیری CVE-2019-9848، مجددا LibreLogo را از هندلر رویداد (event handlers) اسکریپت فراخوانی کند.
- آسیب‌پذیری دوم نیز که توسط Gabriel Masei کشف شده است، با شناسه‌ی CVE-2019-9851 ردیابی شده و در یک ویژگی جداگانه وجود دارد. با بهره‌برداری از این اشکال امنیتی، اسناد مخرب می‌توانند اسکریپت‌های از پیش نصب‌شده را دقیقاً مانند LibreLogo مشخص کرده و از این طریق، امکان اجرای رویدادهای مختلف در جاوا اسکریپت مانند document-open را برای مهاجم فراهم سازند.
علاوه‌براین، وصله‌ی امنیتی آسیب‌پذیری دوم (CVE-2018-16858) که توسط تیم توسعه‌دهنده‌ی لیبره‌آفیس در ماه فوریه منتشر شده بود، می‌تواند با هدف فعال‌کردن مجدد حمله‌ی directory traversal که امکان اجرای هر اسکریپتی از مکان‌های دلخواه سیستم فایل قربانی را برای اسناد مخرب فراهم می‌کند، با موفقیت دور زده شود.
- آسیب‌پذیری جدید سوم که شناسه‌ی CVE-2019-9852 به آن اختصاص داده شده و توسط محقق Nils Emmerich کشف شده است، با اجرای یک حمله‌ی رمزنگاری URL به مهاجم اجازه می‌دهد تا وصله‌ی امنیتی منتشرشده برای حمله‌ی directory traversal را دور بزند.
با بهره‌برداری موفقیت‌آمیز از این سه آسیب‌پذیری جدید، مهاجم راه دور می‌تواند تنها با ترغیب قربانی برای بازکردن یک فایل سندی مخرب، در سکوت دستورات مخرب را بر روی کامپیوتر هدف اجرا کند. بنابراین، به کاربران نرم‌افزار لیبره‌آفیس توصیه می‌شود به‌منظور جلوگیری از وقوع هرگونه حمله، در اسرع وقت نرم‌افزار خود را به آخرین نسخه‌ی وصله‌شده، یعنی نسخه‌ی ۶٫۳٫۰/۶٫۲٫۶ به‌روزرسانی کنند.
