CVE-2025-14714: CWE-288 在文档基金会 LibreOffice 中通过替代路径或通道进行身份验证绕过
严重性：低 类型：漏洞 CVE：CVE-2025-14714
存在一个身份验证绕过漏洞，该应用程序捆绑了一个解释器（Python），该解释器继承了用户授予主应用程序捆绑包的透明、同意和控制（TCC）权限。
通过直接执行捆绑的解释器，攻击者的脚本将以应用程序的TCC权限运行。
在已修复的版本中，使用了父进程约束，仅允许主应用程序启动具有这些权限的解释器。
此问题影响 macOS 上的 LibreOffice：从 25.2 版到低于 25.2.4 的版本。
技术总结
CVE-2025-14714 是一个被归类为 CWE-288 的身份验证绕过漏洞，影响 macOS 上 25.2 至 25.2.4 之前版本的 LibreOffice。根本原因在于应用程序捆绑 Python 解释器的方式，该解释器继承了授予主 LibreOffice 应用程序捆绑包的透明、同意和控制（TCC）权限。TCC 是 macOS 的一个安全框架，用于控制对敏感用户数据和系统资源的访问。由于解释器继承了这些权限，具有本地访问权限的攻击者可以通过捆绑的 Python 解释器直接执行恶意脚本，从而有效地绕过主应用程序施加的预期身份验证和权限检查。这使得攻击者的代码能够以与 LibreOffice 相同的 TCC 权限运行，可能在没有明确用户同意的情况下访问受保护的资源。该漏洞不需要用户交互，但确实需要主机系统上的低级权限。在 25.2.4 版本中实施的修复引入了父进程约束，确保只有主 LibreOffice 应用程序才能启动具有提升 TCC 权限的解释器，从而防止直接未经授权的解释器执行。CVSS 4.0 向量表明攻击向量为本地、攻击复杂度低、需要权限、无需用户交互，并且对机密性、完整性或可用性没有影响，导致严重性得分非常低，为 0.9。截至发布时，尚未报告野外存在已知的漏洞利用。此漏洞凸显了捆绑解释器继承过多权限的风险，以及在 macOS 应用程序中实施严格的进程启动约束的重要性。
潜在影响
对于欧洲组织而言，CVE-2025-14714 的影响有限但不可忽视。由于利用需要本地访问和低权限，且无需用户交互，该威胁主要涉及内部威胁或已经入侵运行受影响 LibreOffice 版本的 macOS 系统上低权限用户帐户的攻击者。该漏洞可能允许攻击者在授予 LibreOffice 的 TCC 权限范围内提升权限，如果授予了这些权限，则可能访问敏感用户数据，例如联系人、日历、位置或摄像头/麦克风访问权限。但是，它不会直接损害整个系统的机密性、完整性或可用性。在 LibreOffice 广泛用于 macOS 端点且敏感数据受 TCC 权限保护的环境中，风险更高。根据 GDPR 具有严格数据隐私要求的组织应将未经授权的数据访问可能性视为合规风险。缺乏已知漏洞利用降低了紧急性，但建议打补丁以关闭此攻击途径。总体而言，影响较低，但在定向攻击中可能促进横向移动或权限提升。
缓解建议
欧洲组织应采取以下具体的缓解措施：
- 立即将所有 macOS 端点上的 LibreOffice 更新到 25.2.4 或更高版本，该版本包含实施父进程约束以限制解释器启动的修复程序。
- 审核 macOS 系统中是否存在易受攻击的 LibreOffice 版本，并删除或隔离过时的安装。
- 限制本地用户权限，以最小化低权限帐户执行未经授权代码的风险。
- 监控 LibreOffice 目录内捆绑的 Python 解释器的执行情况，以检测异常的脚本执行尝试。
- 采用能够识别与 LibreOffice 及其解释器相关的可疑进程启动的端点检测和响应（EDR）工具。
- 教育用户运行不受信任脚本的风险以及及时应用软件更新的重要性。
- 审查 LibreOffice 的 TCC 权限授予，并撤销任何不必要或过度的权限，以减少攻击面。
- 实施应用程序白名单或 macOS 系统完整性保护，以防止在主应用程序上下文之外进行未经授权的解释器执行。 这些针对性行动超越了通用的补丁建议，解决了此漏洞的具体利用途径。
受影响的国家
德国、法国、英国、荷兰、瑞典、芬兰、丹麦、比利时、意大利、西班牙
来源：CVE 数据库 V5 发布日期：2025年12月15日，星期一