Debian 上 LibreOffice 的安全设置指南
一 基础安全基线
- 使用 APT 官方仓库安装与更新，避免第三方下载与 PPA，确保包完整性与签名校验。
- 及时应用安全更新：定期执行 sudo apt update && sudo apt upgrade；建议启用自动安全更新 sudo apt install unattended-upgrades 并启用自动安装安全补丁。
- 以普通用户运行 LibreOffice，避免以 root 打开不可信文档。
- 仅启用必要扩展，优先从官方扩展库获取，减少攻击面。
- 部署基础网络防护：启用 UFW 或 firewalld，仅放行必要流量（如 HTTP/HTTPS/SSH）。
二 LibreOffice 内置安全配置
- 宏安全：在 工具 > 选项 > 安全 > 宏安全 将级别设为高，仅对来自可信来源的文档启用宏；必要时完全禁用宏。
- 扩展管理：在 工具 > 扩展管理器 禁用不必要或来源不明的扩展，优先使用官方扩展库。
- 链接与 URI 处理：谨慎点击文档中的链接与 Office URI（如 vnd.libreoffice.command）；保持 LibreOffice 为最新版本，修复已知 URI/宏相关漏洞。
- 文档来源验证：对邮件附件、网盘下载的文档保持警惕，启用宏前先确认来源可信。
三 系统与运行时加固
- 强制访问控制：启用并核验 AppArmor 对 LibreOffice 的配置文件（命令：aa-status），必要时按最小化原则调整策略，限制对敏感目录与系统资源的访问。
- 可选 SELinux：若系统启用 SELinux，加载并维持强制模式策略以进一步约束 LibreOffice 行为。
- 完整性保护：开启 Secure Boot，降低 rootkit 等针对内核/引导链的风险。
- 网络最小暴露：如无协作需求，限制 LibreOffice 的网络访问；使用 UFW/firewalld 仅放行必要端口（如 HTTP/HTTPS）。
四 监控 审计与响应
- 日志与告警：定期检查 /var/log/syslog 与 LibreOffice 用户日志（如 ~/.config/libreoffice/*/user/log/）中的异常写入、宏执行与扩展加载行为；结合 Logwatch/Fail2ban 做自动化监控与封禁。
- 恶意文档检测：部署 ClamAV 定期扫描下载与共享目录中的文档，降低宏病毒与恶意嵌入对象风险。
- 安全通告订阅：关注 debian-security-announce 与 security-tracker.debian.org，及时获取 LibreOffice/相关依赖的安全修复信息。
- 备份与演练：对重要文档执行定期备份与恢复演练，确保事件后可快速恢复。
五 常见风险与修复要点
- 宏命令执行与 URI 滥用：如 CVE-2025-1080（Office URI 方案滥用）与 CVE-2023-6186（宏权限绕过），修复方式均为升级到包含修复的版本。
- 文档解析与签名伪造：如 CVE-2024-12425（路径遍历）、CVE-2024-12426（环境变量泄露）、CVE-2025-2866（PDF 签名校验绕过），需尽快升级。
- 修复节奏建议：优先通过 APT 更新；若处于 Debian 11 Bullseye，上述漏洞已在 1:7.0.4-4+deb11u12/13 等版本中修复；其他分支请更新至相应安全修复版本。
