Efter næsten to år siden den sidste opdatering er den korrekte udgave af kontorpakken Apache OpenOffice 4.1.16 blevet offentliggjort, hvor 7 sårbarheder er blevet rettet, og flere fejl er blevet korrigeret. Færdige pakker er forberedt til Linux, Windows og macOS.
Udbedrede sårbarheder:
- CVE-2025-64406 – buffer overflow ved import af specielt formaterede filer i CSV-format. Sårbarheden kan potentielt føre til overskrivning af data i hukommelsen og udførelse af egen kode i systemet.
- CVE-2025-64407 – URL-download funktionaliteten kunne anvendes til at transmittere til eksterne server miljøvariabler og værdier fra INI-filer ved åbning af dokumenter med specielt formaterede eksterne links, der blev downloadet uden brugerens viden. Blandt argumenterne for sådanne links var der mulighed for at overføre forskellige indstillinger og miljøvariabler.
- CVE-2025-64401, CVE-2025-64402, CVE-2025-64403, CVE-2025-64404, CVE-2025-64405 – mulighed for at indlæse eksternt indhold i dokumentet uden brugerens godkendelse via manipulation med iframe, OLE-objekter, eksterne datakilder i Calc, DDE-funktioner og baggrundsbilleder. Problemerne skyldtes muligheden for at indsætte eksterne links i dokumentet, hvis indhold blev indlæst uden brugerens meddelelse.
Blandt ændringer, der ikke er relateret til sikkerhed:
- Implementeret understøttelse af kryptering af dokumenter i ODF 1.2 format ved hjælp af AES-256 algoritmen.
- Forbedret kompatibilitet med MathML-specifikationen.
- Fjernet den ubrugte modul "bmpmaker".
- Den automatiske opdateringskontrol er deaktiveret på macOS, hvilket førte til gensidig blokering.
- Rettet 18 problemer, herunder hængning under opdateringskontrol, forsvinden af zoom-slideren under siden ændring i Draw/Impress, forkert parsing af nogle CSV-filer, nedbrud under opstart ved tilstedeværelsen af visse skrifttyper, forkert rydning af listen over nyligt åbnede dokumenter.
Kilde: opennet.ru
