LibreOffice 在 Debian 上的安全性评估
总体结论
在 Debian Stable 上，LibreOffice 的安全性总体可靠：依托 Debian 的稳定分支与 APT 的包管理机制，稳定版通常会在发现漏洞后较快获得修复；同时，LibreOffice 过去曾曝出过可被利用的漏洞（如 CVE-2022-26305 任意代码执行、CVE-2021-25635 签名文档欺骗），说明办公套件并非“免疫”。因此，保持系统与 LibreOffice 的及时更新、并配合最小权限与宏安全策略，可在生产环境中实现可控的安全风险。
风险概览
- 历史高危问题：出现过宏相关与证书校验缺陷导致的代码执行或签名欺骗风险（如 CVE-2022-26305、CVE-2021-25635），提示对不可信文档与宏需保持高度警惕。
- 更新节奏：Debian 稳定版通常按周发布安全更新；LibreOffice 自身也会通过版本迭代快速修复缺陷（如 7.5.3 一次性修复 119 个缺陷），两者叠加有助于缩短暴露窗口。
加固建议
- 保持更新：启用 unattended-upgrades 自动安装安全更新，或至少每周执行 apt 更新；这能显著缩短漏洞暴露时间。
- 最小权限：日常以普通用户运行 LibreOffice，避免以 root 打开不可信文档；必要时通过 sudo 提权。
- 宏安全：将宏安全级别设为高/非常高；对来源不明的宏文档一律不启用，必要时临时完全禁用宏功能。
- 网络与系统防护：仅开放必要端口（如 SSH/HTTPS），使用 SSH 密钥并禁用 root 远程登录；通过 iptables/firewalld 限制入站访问；强化 PAM 密码策略。
版本与渠道选择
- 优先选择 Debian Stable 官方仓库中的 LibreOffice 包，及时应用安全更新；若需新功能或修复，可评估 Debian Backports 的可用性。
- 如必须采用上游官方 .deb 包，务必与系统仓库版本保持同步，并建立自检流程（如 Debian Security Advisories 订阅、内部漏洞扫描与变更审计），以避免长期脱离发行版安全维护。
