Vulnérabilité dans LibreOffice permettant d'exécuter un script lors de l'ouverture d'un document

Une vulnérabilité a été identifiée dans la suite bureautique libre LibreOffice (CVE-2022-3140), permettant l'exécution de scripts arbitraires lors du clic sur un lien spécialement préparé dans un document ou lors du déclenchement d'un événement particulier pendant l'utilisation du document. Le problème a été corrigé dans les mises à jour de LibreOffice 7.3.6 et 7.4.1.

La vulnérabilité est due à l'ajout du support d'un schéma d'appel de macro supplémentaire ‘vnd.libreoffice.command’, spécifique à LibreOffice. Ce schéma peut notamment être utilisé dans les URI, appliqués pour l'intégration de LibreOffice avec serveur MS SharePoint. Un attaquant peut tirer parti de tels URI pour créer des liens appelant n'importe quelles macros internes avec des arguments arbitraires. Lors d'un clic ou d'une activation par événement dans le document, de tels liens peuvent être utilisés pour lancer des scripts sans avertir l'utilisateur.

Source : opennet.ru