This update for libreoffice fixes the following issues: &#9; Updated to version 6.2.7.1.

Security issues fixed :

  - CVE-2019-9854: Fixed unsafe URL assembly flaw     (bsc#1149944).

  - CVE-2019-9855: Fixed path equivalence handling flaw     (bsc#1149943)

This update was imported from the SUSE:SLE-15:Update update project.

This update for libreoffice fixes the following issues :

Updated to version 6.2.7.1.

Security issues fixed :

CVE-2019-9849: Disabled fetching remote bullet graphics in 'stealth mode' (bsc#1141861).

CVE-2019-9848: Fixed an arbitrary script execution via LibreLogo (bsc#1141862).

CVE-2019-9851: Fixed LibreLogo global-event script execution issue (bsc#1146105).

CVE-2019-9852: Fixed insufficient URL encoding flaw in allowed script location check (bsc#1146107).

CVE-2019-9850: Fixed insufficient URL validation that allowed LibreLogo script execution (bsc#1146098).

CVE-2019-9854: Fixed unsafe URL assembly flaw (bsc#1149944).

CVE-2019-9855: Fixed path equivalence handling flaw (bsc#1149943)

Non-security issue fixed: SmartArt: Basic rendering of Trapezoid List (bsc#1133534).

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このlibreofficeの更新では、以下の問題が修正されます： 	 バージョン 6.2.7.1に更新されました。

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-9854：安全でないURLアセンブリの欠陥を修正しました（bsc#1149944）。

  - CVE-2019-9855：パス等価性処理の欠陥を修正しました（bsc#1149943）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

このlibreofficeとライブラリの更新では、次の問題を修正します：

バージョン 6.2.7.1 に更新しました。

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2019-9849：「ステルスモード」でのリモートブレットグラフィックスのフェッチを無効化しました（bsc#1141861）。

  - CVE-2019-9848：LibreLogoを介した任意のスクリプト実行を修正しました（bsc#1141862）。

  - CVE-2019-9851：LibreLogoグローバルイベントスクリプトの実行を修正しました（bsc#1146105）。

  - CVE-2019-9852：許可されたスクリプトロケーションチェックにおける不十分なURLエンコーディングの欠陥を修正しました（bsc#1146107）。

  - CVE-2019-9850：LibreLogoスクリプトの実行を可能にする不十分なURL検証を修正しました（bsc#1146098）。

  - CVE-2019-9854：安全でないURLアセンブリの欠陥を修正しました（bsc#1149944）。

  - CVE-2019-9855：パス等価性処理の欠陥を修正しました（bsc#1149943）

修正された非セキュリティ問題：

  - SmartArt：Trapezoidリストの基本レンダリング（bsc#1133534）。

この更新はSUSEからインポートされました：SLE-15-SP1：更新プロジェクトを更新します。

远程 Windows 主机上安装的 LibreOffice 版本低于 6.2.7 ，或为低于 6.3.1 的 6.3.x。因此，受到下列漏洞的影响：- 存在一个目录遍历漏洞，由 LibreOffice 中的功能所致，允许文档指定可在多个脚本事件上执行的预安装宏命令。应该只可以访问安装于 LibreOffice 的 'share/Scripts/python' 和 /user/Scripts/python' 子目录下的脚本。提前保护以解决 CVE-2019-9852 问题，避免添加类似攻击，然而这种保护会被绕过，这是由于 LibreOffice 组装最终脚本 URL 位置的方式中存在缺陷。此缺陷可被利用，允许执行文件系统上任意位置中的脚本。(CVE-2019-9854) - 由缺陷导致的任意脚本执行漏洞允许文档中基于事件执行的 Python 脚本。添加预先保护以解决此缺陷，然而由于存在 Windows 8.3 路径等价缺陷，通过 Windows 文件名假名，Windows 系统仍然容易受到攻击。请注意，必须安装 LibreLogo 才能恶意利用此漏洞，然而 LibreLogo 常常与 LibreOffice 绑定。(CVE-2019-9855) 请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

遠端 Windows 主機上安裝的 LibreOffice 為 6.2.7 之前版本或 6.3.1 之前的 6.3.x 版。因此會受到下列弱點影響：- LibreOffice 中的一個功能造成的一個目錄遊走弱點，其可允許文件指定預先安裝並可在各種指令碼事件上執行的巨集。只有 LibreOffice 安裝的「share/Scripts/python」和「/user/Scripts/python」子目錄下的指令碼可供存取。已新增先前解決 CVE-2019-9852 以避免類似攻擊的保護措施，不過此保護措施可以繞過，這是因為 LibreOffice 組合最終指令碼 URL 位置的方式所導致。此缺陷若遭惡意利用，可執行檔案系統上任意位置的指令碼。(CVE-2019-9854) - 因為一個缺陷造成的一個任意指令碼執行弱點，可允許文件內 Python 指令碼的事件式執行。已新增先前解決此缺陷的保護措施，不過因為 Windows 8.3 路徑等值缺陷，Windows 系統依然可透過 Windows 檔案名稱假名而受影響。請注意，必須有安裝 LibreLogo 才能加以惡意利用，不過 LibreLogo 常隨附在 LibreOffice 中。(CVE-2019-9855) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

This update for libreoffice fixes the following issues :

Updated to version 6.2.7.1.

Security issues fixed :

  - CVE-2019-9849: Disabled fetching remote bullet graphics     in 'stealth mode' (bsc#1141861).

  - CVE-2019-9848: Fixed an arbitrary script execution via     LibreLogo (bsc#1141862).

  - CVE-2019-9851: Fixed LibreLogo global-event script     execution issue (bsc#1146105).

  - CVE-2019-9852: Fixed insufficient URL encoding flaw in     allowed script location check (bsc#1146107).

  - CVE-2019-9850: Fixed insufficient URL validation that     allowed LibreLogo script execution (bsc#1146098).

  - CVE-2019-9854: Fixed unsafe URL assembly flaw     (bsc#1149944).

  - CVE-2019-9855: Fixed path equivalence handling flaw     (bsc#1149943)

Non-security issue fixed :

  - SmartArt: Basic rendering of Trapezoid List     (bsc#1133534).

This update was imported from the SUSE:SLE-15-SP1:Update update project.

The version of LibreOffice installed on the remote Windows host is prior to 6.2.7 or 6.3.x prior to 6.3.1. It is, therefore, affected by the following vulnerabilities:

  - A directory traversal vulnerability resulting from a feature in LibreOffice which allows documents to     specify pre-installed macros that can be executed on various script events. Only scripts under the     'share/Scripts/python' and /user/Scripts/python' sub-directories of the LibreOffice install should be     accessible. Previous protection to address CVE-2019-9852 to avoid a similar attack was added, however this     protection can be bypassed due to a flaw in how LibreOffice assembles the final script URL location. This     flaw can be exploited to allow scripts in arbitrary locations on the file system to be executed.     (CVE-2019-9854)

  - An arbitrary script execution vulnerability caused by a flaw allowing event-based execution of Python     scripts within a document. Previous protection was added to address this flaw, however due to a Windows     8.3 path equivalence flaw, Windows systems are still vulnerable via Windows filename pseudonyms. Note,     LibreLogo must be installed for this vulnerability to be exploitable, however LibreLogo is frequently     bundled with LibreOffice. (CVE-2019-9855)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for libreoffice to version 6.2.7.1 fixes the following issues :

Security issues fixed :

CVE-2019-9849: Disabled fetching remote bullet graphics in 'stealth mode' (bsc#1141861).

CVE-2019-9848: Fixed an arbitrary script execution via LibreLogo (bsc#1141862).

CVE-2019-9851: Fixed LibreLogo global-event script execution issue (bsc#1146105).

CVE-2019-9852: Fixed insufficient URL encoding flaw in allowed script location check (bsc#1146107).

CVE-2019-9850: Fixed insufficient URL validation that allowed LibreLogo script execution (bsc#1146098).

CVE-2019-9854: Fixed unsafe URL assembly flaw (bsc#1149944).

CVE-2019-9855: Fixed path equivalence handling flaw (bsc#1149943)

Non-security issue fixed: SmartArt: Basic rendering of Trapezoid List (bsc#1133534)

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このlibreofficeの更新では、次の問題が修正されます：

バージョン6.2.7.1に更新しました。

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9849：「ステルスモード」でのリモートブレットグラフィックスのフェッチを無効化しました（bsc#1141861）。

CVE-2019-9848：LibreLogoを介した任意のスクリプト実行を修正しました（bsc#1141862）。

CVE-2019-9851：LibreLogoグローバルイベントスクリプトの実行を修正しました（bsc#1146105）。

CVE-2019-9852：許可されたスクリプトロケーションチェックにおける不十分なURLエンコーディングの欠陥を修正しました（bsc#1146107）。

CVE-2019-9850：LibreLogoスクリプトの実行を可能にする不十分なURL検証を修正しました（bsc#1146098）。

CVE-2019-9854：安全でないURLアセンブリの欠陥を修正しました（bsc#1149944）。

CVE-2019-9855：パス等価性処理の欠陥を修正しました（bsc#1149943）

修正された非セキュリティ問題：SmartArt：Trapezoidリストの基本レンダリング（bsc#1133534）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Windows ホストにインストールされている LibreOffice のバージョンは、 6.2.7 より前か、6.3.1 より前の 6.3.x です。このため、以下の脆弱性の影響を受けます。

  - A directory traversal vulnerability resulting from a feature in LibreOffice which allows documents to specify pre-installed macros that can be executed on various script events. LibreOfficeインストールの「share/Scripts/python」および「/user/Scripts/python」サブディレクトリの下のスクリプトのみにアクセス可能とする必要があります。類似の攻撃を回避するためにCVE-2019-9852に対応する以前の保護が追加されましたが、LibreOfficeが最終的なスクリプトURLの場所をアセンブルする方法に問題があるため、この保護がバイパスされる可能性があります。This flaw can be exploited to allow scripts in arbitrary locations on the file system to be executed. (CVE-2019-9854)

  - An arbitrary script execution vulnerability caused by a flaw allowing event-based execution of Python scripts within a document. この欠陥に対処する以前の保護が追加されましたが、Windows 8.3のパス等価性欠陥のため、WindowsシステムはWindowsファイル名の偽名により依然として脆弱です。Note, LibreLogo must be installed for this vulnerability to be exploitable, however LibreLogo is frequently bundled with LibreOffice. (CVE-2019-9855)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このlibreofficeのバージョン6.2.7.1への更新では、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

CVE-2019-9849：「ステルスモード」でのリモートブレットグラフィックスのフェッチを無効化しました（bsc#1141861）。

CVE-2019-9848：LibreLogoを介した任意のスクリプト実行を修正しました（bsc#1141862）。

CVE-2019-9851：LibreLogoグローバルイベントスクリプトの実行を修正しました（bsc#1146105）。

CVE-2019-9852：許可されたスクリプトロケーションチェックにおける不十分なURLエンコーディングの欠陥を修正しました（bsc#1146107）。

CVE-2019-9850：LibreLogoスクリプトの実行を可能にする不十分なURL検証を修正しました（bsc#1146098）。

CVE-2019-9854：安全でないURLアセンブリの欠陥を修正しました（bsc#1149944）。

CVE-2019-9855：パス等価性処理の欠陥を修正しました（bsc#1149943）

修正された非セキュリティ問題：SmartArt：台形リストの基本レンダリング（bsc#1133534）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
130143	openSUSE Security Update : libreoffice (openSUSE-2019-2361)	Nessus	SuSE Local Security Checks	2019/10/22	2024/4/17	critical
129046	SUSE SLED15 / SLES15 Security Update : libreoffice (SUSE-SU-2019:2402-1)	Nessus	SuSE Local Security Checks	2019/9/19	2024/4/24	critical
130143	openSUSEセキュリティ更新プログラム：libreoffice（openSUSE-2019-2361）	Nessus	SuSE Local Security Checks	2019/10/22	2024/4/17	critical
129346	openSUSEセキュリティ更新プログラム：libreoffice（openSUSE-2019-2183）	Nessus	SuSE Local Security Checks	2019/9/25	2024/4/23	critical
129535	LibreOffice < 6.2.7 / 6.3.x < 6.3.1 多个漏洞 (Windows)	Nessus	Windows	2019/10/3	2024/4/19	critical
129535	LibreOffice < 6.2.7 / 6.3.x < 6.3.1 多個弱點 (Windows)	Nessus	Windows	2019/10/3	2024/4/19	critical
129346	openSUSE Security Update : libreoffice (openSUSE-2019-2183)	Nessus	SuSE Local Security Checks	2019/9/25	2024/4/23	critical
129535	LibreOffice < 6.2.7 / 6.3.x < 6.3.1 Multiple Vulnerabilities (Windows)	Nessus	Windows	2019/10/3	2024/4/19	critical
129045	SUSE SLED12 Security Update : libreoffice (SUSE-SU-2019:2401-1)	Nessus	SuSE Local Security Checks	2019/9/19	2024/4/24	critical
129046	SUSE SLED15 / SLES15セキュリティ更新プログラム：libreoffice（SUSE-SU-2019:2402-1）	Nessus	SuSE Local Security Checks	2019/9/19	2024/4/24	critical
129535	LibreOffice < 6.2.7/6.3.x < 6.3.1の複数の脆弱性（Windows）	Nessus	Windows	2019/10/3	2024/4/19	critical
129045	SUSE SLED12セキュリティ更新プログラム：libreoffice（SUSE-SU-2019:2401-1）	Nessus	SuSE Local Security Checks	2019/9/19	2024/4/24	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical