Nach drei Monaten Entwicklung und sieben Jahren seit der letzten bedeutenden Veröffentlichung wurde das Korrektur-Release des Office-Pakets Apache OpenOffice 4.1.10 erstellt, das zwei Fehlerbehebungen enthält. Fertige Pakete sind für Linux, Windows und macOS verfügbar.
In dieser Version wurde eine Sicherheitsanfälligkeit (CVE-2021-30245) behoben, die es ermöglicht, beliebigen Code auszuführen, wenn auf einen speziell gestalteten Link in einem Dokument geklickt wird. Diese Sicherheitsanfälligkeit wurde durch einen Fehler bei der Verarbeitung von Hyperlinks verursacht, die Protokolle verwenden, die sich von „http://“ und „https://“ unterscheiden, wie zum Beispiel „smb://“ und „dav://“.
Ein Angreifer könnte beispielsweise eine ausführbare Datei auf seinem SMB-Server platzieren und einen Link zu dieser Datei in ein Dokument einfügen. Wenn der Benutzer auf diesen Link klickt, wird die angegebene ausführbare Datei ohne Vorwarnung ausgeführt. Die Möglichkeit eines Angriffs wurde unter Windows und Xubuntu demonstriert. Um die Sicherheit zu erhöhen, wurde in OpenOffice 4.1.10 ein zusätzlicher Dialog hinzugefügt, der vom Benutzer eine Bestätigung anfordert, bevor er einem Link im Dokument folgt.
Die Forscher, die das Problem aufdeckten, wiesen darauf hin, dass nicht nur Apache OpenOffice betroffen ist, sondern auch LibreOffice (CVE-2021-25631). Für LibreOffice ist ein Patch verfügbar, der in die Versionen 7.0.5 und 7.1.2 aufgenommen wurde, allerdings behebt dieser das Problem nur auf der Windows-Plattform (die Liste der verbotenen Dateierweiterungen wurde aktualisiert). Die Entwickler von LibreOffice haben sich geweigert, eine Lösung für Linux bereitzustellen, da sie der Meinung sind, dass das Problem nicht in ihren Verantwortungsbereich fällt und von den Distributionen bzw. Benutzerumgebungen behoben werden muss. Eine ähnliche Problematik wurde auch in Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark und Mumble festgestellt.
Quelle: opennet.ru
