Debian 上 LibreOffice 的安全风险与加固要点
一 近期已披露的安全问题
- CVE-2025-1080（命令注入 via vnd.libreoffice.command）：对“vnd.libreoffice.command”URI 方案的校验不足，可能被用来执行任意宏命令。Debian 已在稳定版 bookworm 修复，更新至 4:7.4.7-1+deb12u7；建议立即升级相关 libreoffice 包。
- CVE-2024-7788（签名伪造与修复模式）：在文档“Zip 修复模式”下，签名校验逻辑可被绕过，导致显示签名有效而内容已被篡改。Debian 11 LTS 已修复（版本 1:7.0.4-4+deb11u11）；修复后，处于修复恢复状态的文档将被视为签名无效，避免用户被误导启用宏。
- CVE-2023-6186 / CVE-2023-6185（宏权限与 GStreamer 插件执行）：存在宏权限校验缺陷，可能无需提示即执行内置宏；以及嵌入视频文件名转义不足，可能触发执行已安装的 GStreamer 插件。两者均为高危级别，需通过升级与配置缓解。
- CVE-2021-25635（签名文档欺骗）：在宏中插入恶意代码可欺骗“已签名文档”的可信显示，诱导用户运行宏。缓解措施为升级至包含修复的版本，或将宏安全级别设为高/非常高。
二 受影响版本与修复状态
- 使用 Debian 安全追踪器查看对应版本的修复状态：https://security-tracker.debian.org/tracker/libreoffice。
- 已明确修复的代表性版本与分支如下：
| 分支 |
修复版本 |
涉及 CVE |
说明 |
| Debian 12 bookworm |
4:7.4.7-1+deb12u7 |
CVE-2025-1080 |
修复 URI 方案校验导致的任意宏执行 |
| Debian 11 bullseye LTS |
1:7.0.4-4+deb11u11 |
CVE-2024-7788 |
修复“修复模式”下的签名伪造问题 |
如系统仍停留在旧版本，建议优先升级至上述修复版本或更高版本。
三 加固与缓解措施
- 及时更新：优先通过 Debian 官方仓库升级（稳定与安全更新渠道）。示例：sudo apt update && sudo apt upgrade。修复版本信息见上文表格与 Debian 安全通告。
- 宏安全策略：在 LibreOffice 中进入“工具 → 选项 → LibreOffice → 安全 → 宏安全”，将安全级别设为高或非常高；对来源不明的文档一律不启用宏。
- 处理可疑文档：遇到提示“文档损坏/需要修复”的签名文件时，保持默认拒绝；修复模式在修复后会将签名视为无效，避免被伪造签名误导启用宏。
- 限制嵌入内容自动执行：谨慎打开含嵌入视频/脚本的文档；在可能的情况下，移除或禁用不必要的外部内容处理组件（如 GStreamer 插件），降低被触发执行的风险。
- 纵深防护：对不可信来源文档，使用 Firejail 等沙箱运行 LibreOffice，限制权限与系统调用；容器化部署时以非 root运行并最小化权限与挂载。
四 快速排查清单
- 确认版本是否为已修复版本：dpkg -l | grep libreoffice；对照上文版本与分支信息，必要时执行升级。
- 查看是否收到相关安全通告：grep -i -r “DSA.*libreoffice” /var/log/apt/（或检查 /var/lib/apt/lists/ 中的安全仓库索引）。
- 审计宏安全设置：确认“宏安全”为高/非常高；对历史文档重新评估信任策略。
- 若无法立即升级：临时禁用宏、避免打开来源不明的签名文档与可疑嵌入内容，并尽快安排维护窗口完成升级。