Пасля трох месяцаў распрацоўкі і сямі гадоў з моманту мінулага значнага выпуску сфарміраваны які карэктуе рэліз офіснага пакета Apache OpenOffice 4.1.10, у якім прапанавана 2 выпраўленні. Гатовыя пакеты падрыхтаваны для Linux, Windows і macOS.
У выпуску ўхіленая ўразлівасць (CVE-2021-30245), якая дазваляе выканаць адвольны код у сістэме пры кліку на адмыслова аформленую спасылку ў дакуменце. Уразлівасць выклікана памылкай пры апрацоўцы гіпертэкставых спасылак, у якіх выкарыстоўваецца пратаколы, адрозныя ад "http://" і "https://", такія як "smb://" і "dav://".
Напрыклад, атакавалы можа размясціць выкананы файл на сваім SMB-серверы і ўставіць у дакумент на яго спасылку. Пры кліку карыстальніка на дадзенай спасылцы, паказаны выкананы файл без папярэджання будзе выкананы. Магчымасць здзяйснення нападу прадэманстравана ў Windows і Xubuntu. Для абароны ў OpenOffice 4.1.10 дададзены дадатковы дыялог, які патрабуе ад карыстача пацверджання аперацыі пры пераходзе па спасылцы ў дакуменце.
Якія выявілі праблему даследнікі адзначылі, што праблеме схільны не толькі Apache OpenOffice, але і LibreOffice (CVE-2021-25631). Для LibreOffice выпраўленне пакуль даступна ў выглядзе патча, які ўвайшоў у склад выпускаў LibreOffice 7.0.5 і 7.1.2, але ўхіляючага праблему толькі на платформе Windows (абноўлены спіс забароненых пашырэнняў файлаў). Выпраўленне для Linux распрацоўнікі LibreOffice адмовіліся ўключаць, матывуючы сваё рашэнне тым, што праблема ляжыць не ў іх зоне адказнасці і павінна быць ухіленая на боку дыстрыбутываў/карыстацкіх акружэнняў. Акрамя офісных пакетаў OpenOffice і LibreOffice аналагічная праблема таксама выяўлена ў Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark і Mumble.
Крыніца: opennet.ru