CVE-2022-37401
Publiée le 2022-08-15 · Dernière modification le 2026-06-17
Les versions d'Apache OpenOffice antérieures à la 4.1.13 stockent les mots de passe des connexions web à l'aide d'une méthode de chiffrement défectueuse qui fragilise considérablement la clé maîtresse. Si un attaquant accède à votre base de données de configuration, il peut utiliser des outils de force brute pour déchiffrer et voler vos mots de passe enregistrés. Cela nécessite que l'attaquant obtienne d'abord une copie de vos fichiers de configuration, généralement via un accès utilisateur de bas niveau déjà existant sur le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Apache OpenOffice supports the storage of passwords for web connections in the user's configuration database. The stored passwords are encrypted with a single master key provided by the user. A flaw in OpenOffice existed where master key was poorly encoded resulting in weakening its entropy from 128 to 43 bits making the stored passwords vulnerable to a brute force attack if an attacker has access to the users stored config. This issue affects: Apache OpenOffice versions prior to 4.1.13. Reference: CVE-2022-26307 - LibreOffice