След три месеца разработка и седем години след последното значимо издание беше създаден коригиращ релийз на офис пакета Apache OpenOffice 4.1.10, в който са предложени 2 корекции. Подготвените пакети са налични за Linux, Windows и macOS.
В релийза е отстранена уязвимост (CVE-2021-30245), позволяваща изпълнението на произволен код в системата при кликване на специално оформена връзка в документа. Уязвимостта е предизвикана от грешка при обработката на хипертекстови връзки, използващи протоколи различни от „http://“ и „https://“, като „smb://“ и „dav://“.
Например, атакуващият може да разположи изпълнителен файл на своя SMB сървър и да постави връзка към него в документа. При кликване от страна на потребителя на тази връзка, посоченият изпълнителен файл ще бъде изпълнен без предупреждение. Възможността за атака е демонстрирана в Windows и Xubuntu. За защита в OpenOffice 4.1.10 е добавен допълнителен диалог, който изисква от потребителя потвърждение за операцията при преминаване по връзката в документа.
Изследователите, открили проблема, отбелязаха, че уязвимостта засяга не само Apache OpenOffice, но и LibreOffice (CVE-2021-25631). За LibreOffice корекцията в момента е налична във вид на пач, включен в изданията LibreOffice 7.0.5 и 7.1.2, но отстранява проблема само на платформата Windows (обновен е списъкът на забранените разширения на файлове). Разработчиците на LibreOffice отказаха да включат корекция за Linux, мотивирайки решението си с твърдението, че проблемът не е в тяхната зона на отговорност и трябва да бъде отстранен от дистрибуциите/потребителските среди. Подобен проблем също е идентифициран в Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark и Mumble.
Източник: opennet.ru
