Près de deux ans après la dernière mise à jour, un correctif pour Apache OpenOffice 4.1.16 a été publié, corrigeant sept vulnérabilités et plusieurs bogues. Des packages prêts à l'emploi sont disponibles pour Linux, Windows et macOS.
Vulnérabilités corrigées :
- CVE-2025-64406 – Dépassement de tampon lors de l'importation de fichiers CSV spécialement conçus. Cette vulnérabilité pourrait potentiellement entraîner l'écrasement de la mémoire et l'exécution de code arbitraire.
- CVE-2025-64407 — La fonction de chargement d'URL pourrait être utilisée pour transmettre des variables d'environnement et des valeurs de fichiers INI à un serveur externe lors de l'ouverture d'un document contenant des liens externes spécialement conçus, chargés à l'insu de l'utilisateur. Les arguments de ces liens pourraient inclure divers paramètres et variables d'environnement.
- CVE-2025-64401, CVE-2025-64402, CVE-2025-64403, CVE-2025-64404, CVE-2025-64405 — Il est possible de charger du contenu externe dans un document sans confirmation de l'utilisateur en manipulant des iframes, des objets OLE, des sources de données externes dans Calc, des fonctions DDE et des images d'arrière-plan. Ces vulnérabilités surviennent lors de l'insertion de liens externes dans un document, dont le contenu est chargé sans notification à l'utilisateur.
Parmi les modifications non liées à la sécurité :
- La prise en charge du chiffrement des documents au format ODF 1.2 à l'aide de l'algorithme AES-256 a été implémentée.
- Compatibilité améliorée avec la spécification MathML.
- Module inutilisé « bmpmaker » supprimé.
- La vérification automatique des mises à jour a été désactivée sur la plateforme macOS, ce qui provoquait des blocages.
- Correction de 18 problèmes, notamment le blocage des téléchargements lors de la vérification des mises à jour, la disparition des curseurs de zoom lors du changement de page dans Draw/Impress, l'analyse incorrecte de certains fichiers CSV, les plantages lors du lancement avec certaines polices et l'effacement incorrect de la liste des documents récemment ouverts.
Source: opennet.ru
