Im kostenlosen Büro-Paket LibreOffice wurde eine Sicherheitsanfälligkeit (CVE-2022-3140) entdeckt, die es ermöglicht, willkürliche Skripte auszuführen, wenn auf einen speziell vorbereiteten Link im Dokument geklickt wird oder wenn während der Bearbeitung des Dokuments ein bestimmtes Ereignis ausgelöst wird. Das Problem wurde in den Updates LibreOffice 7.3.6 und 7.4.1 behoben.
Die Sicherheitsanfälligkeit ergibt sich aus der Hinzufügung der Unterstützung für ein zusätzliches Makroschema ‘vnd.libreoffice.command’, das spezifisch für LibreOffice ist. Dieses Schema kann unter anderem in URIs verwendet werden, die zur Integration von LibreOffice mit Server MS SharePoint dienen. Ein Angreifer kann solche URIs nutzen, um Links zu erstellen, die beliebige interne Makros mit beliebigen Argumenten aufrufen. Durch einen Klick oder die Aktivierung eines Ereignisses im Dokument können solche Links verwendet werden, um Skripte auszuführen, ohne den Benutzer zu warnen.
Quelle: opennet.ru
