LibreOffice patcha RCE dBase: heap overflow in file index scoperto da team ibrido AI-umano

Il 6 novembre 2026 LibreOffice ha reso pubblica la correzione di CVE-2026-76181, vulnerabilità di esecuzione remota di codice nel parsing di file dBase index. La scoperta è accreditata a Claude, sistema agent-based di Anthropic, e Ada Logics, con validazione e coordinamento da parte di un ricercatore anonimo presso TrendAI Zero Day Initiative e sviluppo della patch da Caolán McNamara di Collabora Productivity.

Il meccanismo: come un index dBase craftato compromette LibreOffice

Il difetto risiede nella mancata validazione del numero di entries in una pagina di index rispetto alla capacità dichiarata nell'header. Secondo il CVE Record ufficiale, "the number of entries recorded in a page was not checked against the number of entries the page could hold, which comes from a different field of the index header".

L'advisory ZDI-26-895 aggiunge che "the specific flaw exists within the parsing of dBase index files, which can be referenced from .odb database files". Un file .odb apparentemente legittimo può quindi fungere da vettore, incorporando un index .ndx manipolato.

Oltre all'overflow, il CVE Record documenta un effetto collaterale strutturale: "a crafted index could also make a page refer back to itself, so that reading it recursed without end". La ricorsione infinita è documentata come conseguenza strutturale del parsing difettoso, non come vettore di attacco separato con impatto DoS indipendente.

La scoperta e la catena di validazione umana

La segnalazione al vendor è avvenuta il 20 agosto 2026; la pubblicazione coordinata il 6 novembre 2026. La finestra di quasi 78 giorni tra report e disclosure è riportata nelle fonti primarie senza motivazione documentata.

I crediti nel CVE Record mostrano una catena ibrida: Claude (Anthropic, agent-based) e Ada Logics per la scoperta iniziale; un ricercatore anonimo con TrendAI Zero Day Initiative per la divulgazione coordinata; Caolán McNamara di Collabora Productivity per lo sviluppo della correzione. L'agente AI è finder, non unico scopritore: la validazione e la gestione della disclosure sono state condotte da attori umani.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of LibreOffice. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file."
— TrendAI Zero Day Initiative Advisory ZDI-26-895

La discrepanza CVSS: perché il punteggio non coincide

Il CVE Record ufficiale riporta CVSS 4.0 score 5.4 con severity MEDIUM, vector CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N/E:P. La lista pubblicata ZDI indica invece CVSS 7.8. Entrambi i numeri sono presenti nelle fonti primarie, ma la ragione della divergenza non è documentata nelle fonti.

Il vector ufficiale qualifica l'attacco come locale (AV:L), con interazione utente richiesta (UI:P), impatto limitato su confidenzialità e integrità (VC:L, VI:L) ma alta disponibilità (VA:H). Questo profilo tecnico è coerente con uno scenario in cui l'apertura di un file causa esecuzione nel contesto del processo, senza escalation privilegiata documentata.

La correzione: cosa cambia nel parser

Il CVE Record descrive la mitigazione implementata: "in fixed versions the index header and the entry count of each page are limited to what an index page can hold, and a page that refers back to one of its parent pages is not followed". La fix agisce su due fronti: sanitizzazione del bounds checking per prevenire l'overflow, e interruzione esplicita della ricorsione ciclica nelle reference di pagina.

Né l'advisory ZDI né il CVE Record specificano le versioni esatte che incorporano la correzione. Gli utenti devono verificare l'aggiornamento attraverso i canali ufficiali di LibreOffice o della propria distribuzione Linux.

Cosa fare adesso

Per gli ambienti che utilizzano LibreOffice in gestione documentale o database legacy:

• Verificare la disponibilità di aggiornamenti attraverso il gestore pacchetti della distribuzione o il canale di aggiornamento ufficiale di LibreOffice
• Limitare l'apertura di file .odb provenienti da fonti non attendibili, dato che il vettore richiede interazione utente

Limiti delle fonti e note metodologiche

Le fonti ZDI 1 e 2 sono mirror identici senza dati aggiuntivi. La fonte ZDI 4 (lista pubblicata) è una tabella riassuntiva senza dettagli tecnici aggiuntivi. Il CVE Record (fonte 3) fornisce il dettaglio tecnico completo e il CVSS 4.0 ufficiale.

Domande frequenti

Perché i punteggi CVSS differiscono?
Il CVE Record riporta CVSS 4.0 score 5.4; la lista ZDI indica 7.8. La ragione della divergenza non è documentata nelle fonti. Entrambi i valori sono presenti nelle fonti primarie senza spiegazione ufficiale del gap.

La vulnerabilità è zero-click?
No. L'advisory ZDI specifica esplicitamente che è richiesta interazione utente: apertura di file malevolo o visita a pagina compromessa.

Il formato dBase è ancora rilevante?
Il formato dBase e i suoi derivati come .odb rimangono in uso in ambienti legacy e sistemi di gestione documentale. La persistenza di questi formati rende la vulnerabilità rilevante per le organizzazioni che non possono migrare facilmente.

Chi ha sviluppato la patch?
Caolán McNamara di Collabora Productivity, principale contributore allo sviluppo di LibreOffice.

Esistono exploit pubblici?
Nessuna fonte primaria documenta exploit in-the-wild o proof-of-concept pubblico al momento della pubblicazione dell'advisory.

Fonti

• zerodayinitiative.com
• zerodayinitiative.com
• cve.org
• zerodayinitiative.com