Po třech měsících vývoje a sedmi letech od posledního významného vydání byl vytvořen opravný balíček kancelářského balíku Apache OpenOffice 4.1.10, který nabízí 2 opravy. Hotové balíčky byly připraveny pro Linux, Windows a macOS.
V vydání byla odstraněna zranitelnost (CVE-2021-30245), která umožňuje spuštění libovolného kódu v systému při kliknutí na speciálně upravený odkaz v dokumentu. Tato zranitelnost je způsobena chybou při zpracování hypertextových odkazů, které používají protokoly odlišné od „http://“ a „https://“, jako jsou „smb://“ a „dav://“.
Například útočník může umístit spustitelný soubor na svůj SMB server a vložit do dokumentu odkaz na něj. Při kliknutí uživatele na tento odkaz bude příslušný spustitelný soubor bez varování vykonán. Možnost provedení útoku byla prokázána ve Windows a Xubuntu. Pro ochranu v OpenOffice 4.1.10 byl přidán další dialog, který vyžaduje od uživatele potvrzení operace při přechodu po odkazu v dokumentu.
Výzkumníci, kteří problém objevili, poznamenali, že problém se týká nejen Apache OpenOffice, ale také LibreOffice (CVE-2021-25631). Oprava pro LibreOffice je zatím dostupná pouze ve formě patchu, který je součástí verzí LibreOffice 7.0.5 a 7.1.2, ale problém odstraňuje pouze na platformě Windows (byl aktualizován seznam zakázaných přípon souborů). Opravu pro Linux vývojáři LibreOffice odmítli zahrnout, své rozhodnutí odůvodnili tím, že problém neleží v jejich zóně odpovědnosti a má být odstraněn na straně distribucí/použivatelských prostředí. Kromě kancelářských balíků OpenOffice a LibreOffice byla obdobná problematika identifikována také v Telegramu, Nextcloudu, VLC, Bitcoin/Dogecoin Wallet, Wiresharku a Mumble.
Zdroj: opennet.ru
