невзлом

К сведению · LibreOffice

CVE-2026-76181 — LibreOffice dBASE .ndx heap overflow, fix 26.2.6 / 26.8.1

· CVE-2026-76181

← Простая версия для всех

Суть

В драйвере dBASE LibreOffice при чтении индексных файлов .ndx (папка dBASE как источник данных) — heap buffer overflow и uncontrolled recursion. Вектор: локальный / файл, нужна UI (пользователь открывает или подключает источник). Impact: по advisory Document Foundation — сбой/зависание; по DSA-6615-1 — потенциально arbitrary code execution в процессе LibreOffice. Полный захват ОС без доп. условий не утверждать.

CVSS: CNA CVSS:4.0 = 5.4 Medium (AV:L/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:H/...). Вторичная оценка ZDI 7.8 — ориентир для метки выпуска не она, а CNA 5.4.

Затронуто и исправлено

Ветка / пакетУязвимоЗакрытие
LibreOffice 26.2< 26.2.6≥ 26.2.6
LibreOffice 26.8< 26.8.1≥ 26.8.1
Debian trixie libreoffice*< 4:25.2.3-2+deb13u94:25.2.3-2+deb13u9 (DSA-6615-1)
Debian bookwormvulnerable без фикса в DSA-6615-1фикса в DSA-6615-1 нет на 08.11.2026

Announced: 05.11.2026 (Document Foundation). DSA-6615-1: 07.11.2026. Ubuntu USN в источниках хода не найден.

Важно: 26.8.0 уязвима, хотя численно > 26.2.6 — сравнивать внутри ветки, не «любая версия новее 26.2.6».

Эксплуатация

  • CISA KEV — нет.
  • Подтверждённых атак в advisory Document Foundation / DSA / ленте — нет.
  • Публичного PoC в источниках хода нет.

Как проверить

# сборка с libreoffice.org / flatpak / магазин:
libreoffice --version
# закрыто: ветка 26.2 → ≥ 26.2.6; ветка 26.8 → ≥ 26.8.1

# Debian (метапакет может отсутствовать — смотрите компоненты):
dpkg-query -W -f='${Package}\t${Version}\n' 'libreoffice*' 2>/dev/null | head
apt-cache policy libreoffice-core
# trixie закрыто DSA: version ≥ 4:25.2.3-2+deb13u9 из *-security

UI: Справка → О программе; macOS — меню LibreOffice → О программе LibreOffice. После установщика сверять версию той копии, что реально запускают (which libreoffice / ярлык), особенно если параллельно пакет дистрибутива и tarball.

Как исправить

  1. Upstream / Windows / macOS / ручная Linux-сборка: полностью выйти из LibreOffice → Help → About → если 26.2.<6 или 26.8.0 — поставить ≥ 26.2.6 (оставаясь на 26.2) или ≥ 26.8.1 (ветка 26.8) с https://www.libreoffice.org/download/ (сейчас на кнопке загрузки обычно свежая 26.8.x ≥ 26.8.1). Снова About / libreoffice --version.
  2. Debian trixie: apt update && apt upgrade (репозиторий security) либо обновление пакетов libreoffice* до ≥ 4:25.2.3-2+deb13u9. Не полагаться только на apt install --only-upgrade libreoffice, если метапакета нет. Номер Debian не равен upstream 26.2.6.
  3. Bookworm / Ubuntu без USN / образы debian:12: не считать apt upgrade достаточным до отдельного security или слоя с upstream ≥26.2.6/≥26.8.1. Смешивать системный пакет и tarball в PATH — риск проверить не ту бинарку.
  4. Корп. образы / flatpak / snap: обновить канал/пин; snap часто подтягивает сам, flatpak и закреплённый тег — нет, пока не обновят пин. Внутри рантайма Debian-based сверять libreoffice-core / dpkg-query … 'libreoffice*'; для upstream-слоя — libreoffice --version по правилу веток.
  5. Автообновления: Debian unattended-upgrades при включённом -security может подтянуть DSA; встроенный Check for Updates LibreOffice не гарантирует автоустановку.

Если обновить нельзя

Официального hotfix кроме указанных версий/DSA нет. Compensating: не подключать непроверенные папки dBASE и связанные database-документы как data source. Неофициальные патчи не ставить.

Признаки взлома и что делать

IoC вендор не публиковал. Ориентир: сбой/аномалия LibreOffice в момент открытия чужой dBASE-папки или .odb с внешним dBASE. При подозрении: обновить до закрытой версии; проверить автозагрузку/макросы по политике организации; одного обновления после подтверждённого инцидента может быть мало — смотреть хост по вашему IR.

Источники