Ynformaasje is iepenbiere oer twa kwetsberens yn 'e fergese kantoarsuite LibreOffice, wêrfan de gefaarlikste mooglik koade kin wurde útfierd by it iepenjen fan in spesjaal ûntwurpen dokumint. De earste kwetsberens waard rêstich fêststeld yn 'e maart-releases 7.4.6 en 7.5.1, en de twadde yn' e maaie-updates fan LibreOffice 7.4.7 en 7.5.3.
De earste kwetsberens (CVE-2023-0950) lit mooglik koade útfiere op it systeem by it iepenjen fan in spreadsheet dat spesjaal oanpaste formules omfettet, lykas AGGREGATE, wêryn minder parameters wurde trochjûn dan ferwachte. It probleem wurdt feroarsake troch in array index overflow underflow yn de formule parsing koade (ScInterpreter) brûkt by it ferwurkjen fan spreadsheets.
De twadde kwetsberens (CVE-2023-2255) lit in oanfaller in spesjaal ûntworpen dokumint tariede, dat, as it iepene wurdt, eksterne keppelings sil laden sûnder prompt of warskôging, wat net oerienkomt mei it ferklearre gedrach fan LibreOffice, wat betsjuttet it werjaan fan in warskôging by it laden fan relatearre ynhâld. It probleem wurdt feroarsake troch in flater yn 'e koade foar tagongsrjochten by it brûken fan it meganisme "Floating Frames", fergelykber mei iframes yn HTML, wêrtroch de ynhâld fan eksterne bestannen dynamysk yn it dokumint opnommen wurde kin.
Boarne: opennet.ru
