S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 30 juin 2006
N° CERTA-2006-AVI-271-002
Affaire suivie par: CERT-FR
le 30 juin 2006

Avis du CERT-FR

Objet: Multiples vulnérabilités sur OpenOffice

Gestion du document

Référence CERTA-2006-AVI-271-002
Titre Multiples vulnérabilités sur OpenOffice
Date de la première version 30 juin 2006
Date de la dernière version 04 août 2006
Source(s) Bulletin de sécurité OpenOffice
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire ;
  • déni de service.

Systèmes affectés

  • OpenOffice 1.1.x ;
  • OpenOffice.org 2.x.

Résumé

Plusieurs vulnérabilités sont présentes dans OpenOffice. Ces vulnérabilités peuvent être utilisées par un utilisateurs mal intentionné pour exécuter du code arbitraire sur le système ou réaliser un déni de service.

Description

  • Une vulnérabilité est présente dans le traitement de certaines applet java dans les documents OpenOffice. Cette vulnérabilité peut être exploitée pour coutourner le « bac à sable » de la machine java et obtenir les privilèges de l'utilisateur sur le système.
  • Une seconde vulnérabilité existe dans le traitement des macros embarquées dans les documents OpenOffice. Cette vulnérabilité peut être utilisée pour faire exécuter du code malveillant à l'ouverture d'une document habilement construit.
  • Une troisième vulnérabilité existe dans le traitement des documents XML. Cette vulnérabilité de type débordement de mémoire peut être exploitée pour exécuter du code arbitraire sur le système.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 30 juin 2006
    version initiale.
    le 06 juillet 2006
    ajout des références aux bulletins de sécurité Red Hat, Debian et Suse.
    le 13 juillet 2006
    ajout des références aux bulletins de sécurité d'Ubuntu.
    le 04 août 2006
    ajout des références aux bulletins de sécurité Gentoo, Mandriva et Ubuntu.