پس از سه ماه توسعه و هفت سال از آخرین نسخه قابل توجه، نسخه اصلاحی مجموعه آفیس Apache OpenOffice 4.1.10 تشکیل شد که 2 راه حل را پیشنهاد کرد. بسته های آماده برای لینوکس، ویندوز و macOS آماده شده است.
این نسخه یک آسیب‌پذیری (CVE-2021-30245) را برطرف می‌کند که اجازه می‌دهد کد دلخواه در سیستم هنگام کلیک کردن روی پیوند طراحی‌شده خاص در یک سند اجرا شود. این آسیب‌پذیری به دلیل خطا در پردازش پیوندهای فرامتن است که از پروتکل‌هایی غیر از «http://» و «https://» مانند «smb://» و «dav://» استفاده می‌کنند.
به عنوان مثال، یک مهاجم می تواند یک فایل اجرایی را روی سرور SMB خود قرار دهد و پیوندی را به آن در یک سند وارد کند. زمانی که کاربر روی این لینک کلیک می کند، فایل اجرایی مشخص شده بدون اخطار اجرا می شود. این حمله بر روی ویندوز و Xubuntu نشان داده شده است. برای امنیت، OpenOffice 4.1.10 یک گفتگوی اضافی اضافه کرد که کاربر را ملزم می کند هنگام دنبال کردن یک پیوند در یک سند، عملیات را تأیید کند.
محققانی که مشکل را شناسایی کردند خاطرنشان کردند که نه تنها آپاچی اوپن آفیس، بلکه لیبره آفیس نیز تحت تأثیر این مشکل قرار گرفته است (CVE-2021-25631). برای LibreOffice، این اصلاح در حال حاضر به شکل یک وصله موجود در نسخه‌های LibreOffice 7.0.5 و 7.1.2 موجود است، اما مشکل را فقط در پلتفرم ویندوز برطرف می‌کند (لیست پسوندهای فایل ممنوعه به‌روزرسانی شده است. ). توسعه دهندگان LibreOffice از اضافه کردن یک اصلاح برای لینوکس خودداری کردند، با استناد به این واقعیت که مشکل در حوزه مسئولیت آنها نبود و باید در سمت توزیع ها / محیط های کاربر حل شود. علاوه بر مجموعه‌های اداری OpenOffice و LibreOffice، مشکل مشابهی در Telegram، Nextcloud، VLC، Bitcoin/Dogecoin Wallet، Wireshark و Mumble نیز مشاهده شد.
منبع: opennet.ru