В свободния офис пакет LibreOffice е идентифицирана уязвимост (CVE-2022-3140), която позволява организирането на изпълнението на произволни скриптове при кликване на специално подготвена връзка в документа или при задействането на определено събитие по време на работа с документа. Проблемът е отстранен в обновленията на LibreOffice 7.3.6 и 7.4.1.
Уязвимостта е причинена от добавянето на поддръжка за допълнителна схема за извикване на макроси ‘vnd.libreoffice.command’, специфична за LibreOffice. Тази схема може да се използва и в URI, използвани за интеграция на LibreOffice с сървър MS SharePoint. Нападателят може да се възползва от подобни URI за създаване на връзки, които извикват всякакви вътрешни макроси с произволни аргументи. При клик или активиране по събитие в документа подобни връзки могат да се използват за стартиране на скриптове без предупреждение за потребителя.
Източник: opennet.ru
