アカウント名:
パスワード:
https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-e... [insinuator.net]
これが実行されるのが仕様ってあんまりでは。
まるで電卓が悪者みたいじゃないかっ！
Windowsの三大被害者・calc.exe・notepad.exe・cmd.exe
自分が悪くなくてもexploitによってさらし者になる運命なのだよ
それらに脆弱性緩和機能が追加される日も近いな。
# Microsoftならやりかねん
powershellにはリモートから(操作を指示されたユーザによって)任意の(スクリプトファイルに記載された)コードを実行する脆弱性に対する緩和機能があります。わざわざユーザが明示的にスクリプトの実行を可能に設定しないとスクリプトファイルを実行できないあれです。でも拡張子が.batなファイルを実行するだけで実行できるcmd.exeには同様の緩和策がいつまでたっても搭載されません。多分されないでしょう。
execution policyの事であれば、powershell.exe実行時の引数に、「-ExecutionPolicy Unrestricted」を付与することによって、ps1ファイルに書かれた任意のコードを実行できてしまいますし、「-Command」引数を使用すれば、やはり任意のコードを実行できてしまいます。# ユーザーの誤操作防止用の機能ですし、緩和策にならないのでは？
とりあえず、ファイルをダブルクリックで実行で動かなきゃ十分緩和策ですよ。PowerShellでやれることはEXEファイルと変わらないし。
必要十分な緩和策でしょ。使うユーザーは意識するし、使わないユーザーのところで勝手に動かなければ、9割以上防げる対策になるんじゃない？
大元のコメはexe実行の話であって、ps1ファイルをダブルクリックした時の話ではないのだけれども？
#libreofficeのマクロから実行の話だし
悪の枢軸ってことならemacsあたりにしておくべきだったね。
Microsoft Officeの代替を目指す以上、同等かそれ以上のセキュリティーリスクも必要なのかな。
Microsoft OfficeもVBAで同様に外部プログラムを実行できると思いますけれど。
セキュリティー設定変えないと警告がでますし、十年以上前からのXMLタイプの新形式だと、マクロが含まれるなら拡張子が.xlsmでないと動かない。
> セキュリティー設定変えないと警告がでますし
LibreOfficeのマクロ実行はデフォルトだと署名付きしか実行できない設定だし、そこから設定でセキュリティレベルを下げる場合も、「(MS Officeと同様に)開いた際に実行するかしないか確認する」と、「確認なく実行する(非推奨であることを明記)」と2段階あるわけだけれども。
そこらへん理解して発言してます？
> 拡張子が.xlsmでないと動かない。
Windowsのデフォルト設定なら拡張子なんて見えないし、攻撃する側からしたら拡張子を「.xls」にするか、例えばRLOを利用して「.xlsx」が拡張子のように見せかけるだけでしょ。
その設定関係なく、イベントハンドラに割り当てると実行されてしまうってのが書いてあるわけだが、お前こそ理解できてんのか？
だからそういう話じゃないの？
次回で修正されるらしいじゃないですかちゃんとしっかりと対策されてLibreOfficeからはcalc.exeが実行されないようになりますよその次のリリースではnotepad.exeが実行されないようになりますよ更にその次のリリースでは(ry
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー
予想以上にひどくてワラタ (スコア:2, おもしろおかしい)
https://insinuator.net/2019/07/libreoffice-a-python-interpreter-code-e... [insinuator.net]
これが実行されるのが仕様ってあんまりでは。
Re: (スコア:0)
まるで電卓が悪者みたいじゃないかっ！
Re:予想以上にひどくてワラタ (スコア:1)
Windowsの三大被害者
・calc.exe
・notepad.exe
・cmd.exe
自分が悪くなくてもexploitによってさらし者になる運命なのだよ
Re: (スコア:0)
それらに脆弱性緩和機能が追加される日も近いな。
# Microsoftならやりかねん
Re: (スコア:0)
powershellにはリモートから(操作を指示されたユーザによって)任意の(スクリプトファイルに記載された)コードを実行する脆弱性に対する緩和機能があります。
わざわざユーザが明示的にスクリプトの実行を可能に設定しないとスクリプトファイルを実行できないあれです。
でも拡張子が.batなファイルを実行するだけで実行できるcmd.exeには同様の緩和策がいつまでたっても搭載されません。
多分されないでしょう。
Re: (スコア:0)
execution policyの事であれば、powershell.exe実行時の引数に、
「-ExecutionPolicy Unrestricted」を付与することによって、
ps1ファイルに書かれた任意のコードを実行できてしまいますし、
「-Command」引数を使用すれば、やはり任意のコードを実行できてしまいます。
# ユーザーの誤操作防止用の機能ですし、緩和策にならないのでは？
Re: (スコア:0)
とりあえず、ファイルをダブルクリックで実行で動かなきゃ十分緩和策ですよ。
PowerShellでやれることはEXEファイルと変わらないし。
Re: (スコア:0)
必要十分な緩和策でしょ。
使うユーザーは意識するし、使わないユーザーのところで勝手に動かなければ、9割以上防げる対策になるんじゃない？
Re: (スコア:0)
大元のコメはexe実行の話であって、
ps1ファイルをダブルクリックした時の話ではないのだけれども？
#libreofficeのマクロから実行の話だし
Re: (スコア:0)
悪の枢軸ってことならemacsあたりにしておくべきだったね。
Re: (スコア:0)
Microsoft Officeの代替を目指す以上、同等かそれ以上のセキュリティーリスクも必要なのかな。
Re: (スコア:0)
Microsoft OfficeもVBAで同様に外部プログラムを実行できると思いますけれど。
Re:予想以上にひどくてワラタ (スコア:1)
セキュリティー設定変えないと警告がでますし、十年以上前からのXMLタイプの新形式だと、マクロが含まれるなら拡張子が.xlsmでないと動かない。
Re:予想以上にひどくてワラタ (スコア:1)
> セキュリティー設定変えないと警告がでますし
LibreOfficeのマクロ実行はデフォルトだと署名付きしか実行できない設定だし、
そこから設定でセキュリティレベルを下げる場合も、
「(MS Officeと同様に)開いた際に実行するかしないか確認する」と、
「確認なく実行する(非推奨であることを明記)」と2段階あるわけだけれども。
そこらへん理解して発言してます？
> 拡張子が.xlsmでないと動かない。
Windowsのデフォルト設定なら拡張子なんて見えないし、攻撃する側からしたら
拡張子を「.xls」にするか、例えばRLOを利用して「.xlsx」が拡張子のように見せかけるだけでしょ。
Re: (スコア:0)
その設定関係なく、イベントハンドラに割り当てると実行されてしまうってのが
書いてあるわけだが、お前こそ理解できてんのか？
Re: (スコア:0)
だからそういう話じゃないの？
Re: (スコア:0)
次回で修正されるらしいじゃないですか
ちゃんとしっかりと対策されて
LibreOfficeからはcalc.exeが実行されないようになりますよ
その次のリリースではnotepad.exeが実行されないようになりますよ
更にその次のリリースでは(ry