Apache OpenOffice 4.1.10 väljaanne, mis kõrvaldab haavatavuse, mis mõjutab ka LibreOffice'i

Pärast kolme kuu arendustööd ja seitse aastat viimase olulise väljaande järel on loodud parandav versioon kontoripaketist Apache OpenOffice 4.1.10, mis sisaldab kahte parandust. Valmistatud paketid on saadaval Linuxi, Windowsi ja macOS-i jaoks.

Väljaandes on kõrvaldatud haavatavus (CVE-2021-30245), mis võimaldab süsteemis käitada mingit koodi, kui klikitakse spetsiaalselt vormindatud lingile dokumendis. Haavatavus tuleneb veast hüpertekstilingi töötlemisel, kus kasutatakse protokolle, mis ei ole "http://" ja "https://", nagu näiteks "smb://" ja "dav://".

Näiteks võib ründaja paigutada täidetava faili oma SMB-serverisse ja lisada dokumendile lingi sellele failile. Kui kasutaja klikib sellele lingile, käivitub määratud täidetav fail ilma hoiatusteta. Rünnaku teostamise võimalust on demonstreeritud Windowsis ja Xubuntus. OpenOffice 4.1.10-sse on lisatud täiendav dialoog, mis nõuab kasutajalt kinnitust, kui liigutakse lingile dokumentides.

Probleemi avastanud uurijad on märkinud, et probleem puudutab mitte ainult Apache OpenOffice'i, vaid ka LibreOffice'i (CVE-2021-25631). LibreOffice'i jaoks on praegu saadaval parandamine patchina, mis on kaasatud LibreOffice 7.0.5 ja 7.1.2 väljaannetesse, kuid mis lahendab probleemi ainult Windowsi platvormil (keelatud faililaiendite loetelu on uuendatud). LibreOffice'i arendajad keeldusid parandust Linuxi jaoks lisamast, põhjendades oma otsust sellega, et probleem ei ole nende vastutusvaldkonnas ja sellele tuleks läheneda jaotuste/kasutajakeskkondade poolt. Lisaks kontoripakettidele OpenOffice ja LibreOffice on sarnane probleem tuvastatud ka Telegramis, Nextcloudis, VLC-s, Bitcoin/Dogecoin rahakotis, Wiresharkis ja Mumble'is.

Allikas: opennet.ru