Im freien Office-Paket LibreOffice wurde eine Schwachstelle (CVE-2022-3140) entdeckt, die es ermöglicht, die AusfĂŒhrung beliebiger Skripte durch einen Klick auf einen speziell vorbereiteten Link im Dokument oder durch das Auslösen eines bestimmten Ereignisses wĂ€hrend der Arbeit mit dem Dokument zu ermöglichen. Das Problem wurde in den Updates LibreOffice 7.3.6 und 7.4.1 behoben.
Die Schwachstelle wurde durch die UnterstĂŒtzung eines zusĂ€tzlichen Makroschema 'vnd.libreoffice.command' verursacht, das spezifisch fĂŒr LibreOffice ist. Dieses Schema kann auch in URIs verwendet werden, die zur Integration von LibreOffice mit Server MS SharePoint verwendet werden. Ein Angreifer kann solche URIs nutzen, um Links zu erstellen, die beliebige interne Makros mit beliebigen Argumenten aufrufen. Beim Klicken oder Aktivieren durch ein Ereignis im Dokument können solche Links verwendet werden, um Skripte ohne Warnung an den Benutzer auszufĂŒhren.
Quelle: opennet.ru
