Der frie kontorpakke LibreOffice har en sårbarhed (CVE-2022-3140), der gør det muligt at udføre vilkårlige scripts ved at klikke på et specielt forberedt link i dokumentet eller ved at udløse en bestemt hændelse under arbejdet med dokumentet. Problemet er blevet løst i opdateringerne af LibreOffice 7.3.6 og 7.4.1.
Sårbarheden er forårsaget af tilføjelsen af support til den ekstra makroskema ‘vnd.libreoffice.command’, som er specifik for LibreOffice. Dette skema kan også bruges i URI'er, der anvendes til integration med serveren MS SharePoint. Angriberen kan udnytte sådanne URI'er til at oprette links, der kalder hvilke som helst interne makroer med vilkårlige argumenter. Ved klik eller aktivering via hændelse i dokumentet kan sådanne links anvendes til at starte scripts uden at vise en advarsel til brugeren.
Kilde: opennet.ru
