LibreOffice'i haavatavus, mis võimaldab scriptide täitmist dokumentide töötlemisel

Avatud kontoripaketis LibreOffice on tuvastatud haavatavus (CVE-2022-3140), mis võimaldab korraldada juhuslike skriptide täitmist, kui klõpsatakse ettevalmistatud lingil dokumendis või kui teatud sündmus aktiveerub dokumendi töötlemise ajal. Probleem on lahendatud LibreOffice'i versioonides 7.3.6 ja 7.4.1.

Haavatavus on tingitud täiustatud makroskeemide toetuse lisamisest, 'vnd.libreoffice.command', mis on spetsiifiline LibreOffice'ile. Seda skeemi saab kasutada ka URI-des, mis on mõeldud LibreOffice'i integreerimiseks. serverilt MS SharePoint. Ründaja võib selliseid URI-sid kasutada linkide loomiseks, mis kutsuvad esile sisemisi makrosid juhuslike argumentidega. Lingid võivad dokumendis klõpsamisel või sündmuse aktiveerimisel käivitada skripte ilma kasutajale hoiatust andmata.

Allikas: opennet.ru