Efter tre måneders udvikling og syv år siden den sidste store udgave er der blevet dannet en rettelsesudgave af kontorpakke Apache OpenOffice 4.1.10, som tilbyder 2 rettelser. De færdige pakker er forberedt til Linux, Windows og macOS.
I udgivelsen er en sårbarhed blevet rettet (CVE-2021-30245), som muliggør udførelse af vilkårligt kode i systemet ved at klikke på et specielt udformet link i dokumentet. Sårbarheden skyldes en fejl i behandlingen af hyperlinks, der bruger protokoller, der adskiller sig fra «http://» og «https://», såsom «smb://» og «dav://».
For eksempel kan en angriber placere en eksekverbar fil på sin SMB-server og indsætte et link til den i dokumentet. Når brugeren klikker på dette link, vil den angivne eksekverbare fil blive udført uden varsel. Muligheden for angrebet blev demonstreret i Windows og Xubuntu. For at beskytte i OpenOffice 4.1.10 er der tilføjet en ekstra dialogboks, der kræver, at brugeren bekræfter handlingen, når man klikker på et link i dokumentet.
Forskere, der har identificeret problemet, har bemærket, at problemet ikke kun påvirker Apache OpenOffice, men også LibreOffice (CVE-2021-25631). For LibreOffice er en rettelse i øjeblikket tilgængelig som et patch, der er inkluderet i udgivelserne LibreOffice 7.0.5 og 7.1.2, men som kun løser problemet på Windows-platformen (den opdaterede liste over forbudte filudvidelser). Udviklerne af LibreOffice har nægtet at inkludere en rettelse for Linux, motiveret af at problemet ikke ligger inden for deres ansvarsområde og bør løses af distributioner/brugeromgivelser. Udover kontorpakkerne OpenOffice og LibreOffice er et lignende problem også identificeret i Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark og Mumble.
Kilde: opennet.ru
