LibreOffice 严重漏洞：攻击者可通过宏 URL 执行任意脚本

LibreOffice 中一个关键安全漏洞（追踪编号为 CVE-2025-1080）暴露了数百万用户面临远程代码执行攻击的风险，攻击者可通过操纵宏 URL 绕过安全协议并执行任意脚本。该漏洞已于 2025 年 3 月 4 日发布的 24.8.5 和 25.2.1 版本中得到修复。

该漏洞暴露了文档协作工作流程中的持续风险，同时也凸显了在企业环境中快速更新软件的必要性。

漏洞利用机制：通过宏 URL 执行脚本

此漏洞存在于 LibreOffice 的vnd.libreoffice.commandURI 方案实现中，该功能旨在增强与 Microsoft SharePoint 服务器的集成。该方案支持基于浏览器与存储在 SharePoint 上的 LibreOffice 文档进行交互，从而简化使用混合办公套件的企业工作流程。

根据安全公告，24.8.5 和 25.2.1 之前的版本未能对这些 URI 中的嵌套 URL 组件进行清理。攻击者可以制作包含嵌入内部 URL 的恶意链接，点击后触发 LibreOffice 的宏执行引擎，并使用未经授权的参数运行脚本。

发现该漏洞的安全分析师 Amel Bouziane-Leblond 解释道：“URI 处理器未能正确清理嵌套 URL 组件，为不受信任的代码创建了一个执行管道。”

与需要下载文档的传统钓鱼攻击不同，此漏洞只需点击网页浏览器中的超链接即可激活，使其极具隐蔽性。漏洞利用特别针对在 SharePoint 集成环境中使用 LibreOffice 的企业。攻击者可能会在看似合法的文档分享链接中嵌入恶意有效负载，进而可能危及整个网络。例如，攻击者可能分发一个名为“Q4 财务报告”的 SharePoint 链接，打开后会执行宏以部署勒索软件或窃取敏感数据。

漏洞背景与修复措施

该漏洞延续了 LibreOffice 中 URI 处理缺陷的模式，类似于 CVE-2022-3140（于 2022 年修复）和 CVE-2023-6186（于 2023 年修复），两者均涉及不当的宏执行控制。然而，CVE-2025-1080 由于其一键利用的特性以及在未打补丁版本中缺乏用户警告，其影响更为严重。

LibreOffice 维护者通过多层安全增强措施解决了该漏洞：

• 严格的 URI 方案验证：补丁引入了对嵌套 URL 组件的严格检查，阻止格式错误的vnd.libreoffice.commandURI。

• 强制宏权限：所有通过命令触发的宏现在都需要通过确认对话框获得用户的明确批准，即使对于标记为“受信任”的文档也是如此。

• 进程沙盒化：URI 处理器操作在隔离环境中运行，防止在发生利用时系统范围被攻破。

修复该漏洞的 Collabora Productivity 的 Caolán McNamara 强调：“这些变化在保持工作流程功能的同时，消除了未记录的命令注入途径。”

缓解措施与建议

为了降低风险，企业应采取以下缓解措施：

• 立即修补：通过官方网站或软件包管理器将 LibreOffice 升级到 24.8.5 或 25.2.1 版本。

• 网络监控：扫描日志以查找异常的vnd.libreoffice.commandURI 激活，尤其是来自不受信任来源的激活。

• 用户培训：教育员工识别可疑的 SharePoint 链接，并强化不点击未请求文档 URL 的政策。

• 宏加固：通过“工具 > 选项 > LibreOffice > 安全性 > 宏安全性”将宏执行限制为数字签名的脚本。

CVE-2025-1080 突显了保护开源办公套件免受复杂社会工程攻击的持续挑战。尽管 LibreOffice 迅速发布补丁显示其响应能力有所提高，但 URI 处理缺陷的反复出现表明需要对其浏览器集成功能进行架构审计。随着企业越来越多地采用混合办公环境，跨平台兼容性功能仍将是主要的攻击面。

LibreOffice 用户必须保持警惕，即使是对熟悉的协作平台也应视其为潜在的威胁载体，直到全面的安全框架成为行业标准。随着网络犯罪分子越来越多地针对开源软件的信任模型，开发者和用户都需要在功能性和安全性之间保持平衡。

原文来自: https://cybersecuritynews.com/libreoffice-vulnerability-arbitrary-script/