En sårbarhed (CVE-2022-3140) er blevet identificeret i den gratis kontorpakke LibreOffice, som tillader vilkårlige scripts at blive udført, når der klikkes på et specielt forberedt link i et dokument, eller når en bestemt begivenhed udløses, mens der arbejdes med et dokument. Problemet er blevet løst i LibreOffice 7.3.6 og 7.4.1 opdateringerne.
Sårbarheden skyldes tilføjelsen af understøttelse af et ekstra makrokaldsskema, 'vnd.libreoffice.command', specifikt for LibreOffice. Dette skema kan også bruges i URI'er, der bruges til at integrere LibreOffice med server MS SharePoint. En angriber kan bruge sådanne URI'er til at oprette links, der kalder interne makroer med vilkårlige argumenter. Når sådanne links klikkes på eller aktiveres af en hændelse i dokumentet, kan de bruges til at køre scripts uden at vise en advarsel til brugeren.
Kilde: opennet.ru
