Уязвимост в LibreOffice, която позволява изпълнението на скрипт при работа с документ

В свободния офисен пакет LibreOffice е открито уязвимо място (CVE-2022-3140), което позволява изпълнението на произволни скриптове при кликване на специално подготвена връзка в документа или при задействане на определено събитие по време на работа с документа. Проблемът е решен в обновленията на LibreOffice 7.3.6 и 7.4.1.

Уязвимость вызвана добавлением поддержки дополнительной схемы вызова макросов ‘vnd.libreoffice.command’, специфичной для LibreOffice. Данную схему в том числе можно использовать в URI, применяемых для интеграции LibreOffice с сървъра. MS SharePoint. Нападателят може да се възползва от такива URI, за да създаде връзки, които извикват всякакви вътрешни макроси с произволни аргументи. При клик или активиране по събитие в документа тези връзки могат да се използват за стартиране на скриптове без предупреждение за потребителя.

Източник: opennet.ru