Apache OpenOffice < 4.1.11 多个漏洞

high Nessus 插件 ID 154166

语言：

简介

远程 Windows 主机上安装有受多个漏洞影响的应用程序。

描述

远程主机上安装的 Apache OpenOffice 版本低于 4.1.11。因此，该服务器受到多个漏洞的影响：

- Apache OpenOffice 和 expat 软件具有依存关系。2.1.0 之前的版本会受到 CVE-2013-0340 漏洞的影响，这是一种通过构建的 XML 文件造成的“Billion Laughs”实体扩展拒绝服务攻击和利用。ODF 文件由一组 XML 文件组成。Apache OpenOffice 4.1.10 及其之前所有版本都受到此问题的影响。版本 4.1.11 中的 expat 已修补。(CVE-2021-40439)

- 在 Apache OpenOffice 4.1.8 上工作时，开发人员发现未使用 root 安装 DEB 程序包，而是使用 userid 和 groupid 500。这既会造成桌面集成问题，也可能允许对该用户或群组拥有的文件（如果存在）进行构建攻击。已安装 Apache OpenOffice 4.1.8 DEB 程序包的用户应升级至 Apache OpenOffice 最新版本。(CVE-2021-28129)

- Apache OpenOffice 打开 dBase/DBF 文档并将内容显示为电子表格。DBF 是数据库文件，其数据按字段组织。读取 DBF 数据时，未检查某些字段的大小：只是将数据复制到局部变量中。精心构建的文档可使分配的空间溢出，通过更改程序堆栈的内容导致任意代码执行。此问题影响 Apache OpenOffice 4.1.10 及其之前的版本。(CVE-2021-33035)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本