Ve volném kancelářském balíku LibreOffice byla odhalena zranitelnost (CVE-2022-3140), která umožňuje provádět libovolné skripty při kliknutí na speciálně připravený odkaz v dokumentu nebo při spuštění určité události během práce s dokumentem. Problém byl vyřešen v aktualizacích LibreOffice 7.3.6 a 7.4.1.
Zranitelnost je způsobena přidáním podpory další schémy volání makra ‘vnd.libreoffice.command’, specifické pro LibreOffice. Tato schéma může být také použita v URI, které se používají pro integraci LibreOffice s serverem MS SharePoint. Útočník může využít taková URI k vytvoření odkazů, které vyvolávají jakékoli interní makra s libovolnými argumenty. Při kliknutí nebo aktivaci události v dokumentu mohou být takové odkazy použity ke spuštění skriptů bez varování pro uživatele.
Zdroj: opennet.ru
