De kantoorsoftware van OpenOffice.org bevat meer beveiligingslekken dan die van Microsoft, zo blijkt uit onderzoek van het Software Engineering Institute van Carnegie Mellon. Verschillende versies van de software werden aan fuzzing-testen blootgesteld. Daarbij krijgt het programma verschillende databestanden en stromen te verwerken die tot een crash kunnen leiden. Sommige van deze crashes maken het mogelijk voor een aanvaller om willekeurige code uit te voeren en zo het onderliggende besturingssysteem over te nemen.
In totaal gebruikten de onderzoekers 190.000 verschillende bestanden om elk programma mee te testen. Het ging om Microsoft Office XP, 2003, 2007, 2010 en Oracle OpenOffice 3.2.1 en 3.3.0 RC7. Uit de test blijkt dat beide OpenOffice programma's met veel meer ernstige crashes dan Microsoft Office hebben te maken. In Office 2010 vond geen enkele te misbruiken crash plaats. Zelfs Office XP, waarvan de ondersteuning over een aantal maanden stopt, presteerde beter dan OpenOffice.
Updates
De onderzoekers keken ook naar de beveiligingsmaatregelen in de verschillende programma's. Het gaat dan om DEP (data execution prevention), ASLR (address space layout randomization) en Preliminary File Validation. Deze laatste functie controleert of een bestand wel aan de verwachtingen van het programma voldoet. Is het bestand beschadigd of bevat het vreemde code, dan wordt het niet geopend. Office 2010 is het enige programma dat deze functie heeft. DEP is alleen bij Office 2010 en OpenOffice 3.3.0 RC7 aanwezig.
Een ander punt waar OpenOffice in tekort schiet zijn de updates. Microsoft biedt de updates voor Office over een beveiligde HTTPS-verbinding aan. Die van OpenOffice verlopen via HTTP. De updates van Microsoft zijn gesigneerd, die van OpenOffice niet. Bij het installeren van de updates zijn bij Microsoft geen adminrechten of interactie van de gebruiker vereist, terwijl dit bij OpenOffice in beide gevallen wel nodig is. De resultaten van de test zijn inmiddels aan Oracle en Microsoft doorgegeven.
Deze posting is gelocked. Reageren is niet meer mogelijk.