Apache OpenOffice 4.1.10 लिबरऑफिस को प्रभावित करने वाली भेद्यता के समाधान के साथ जारी किया गया

विकास के तीन महीने और आखिरी महत्वपूर्ण रिलीज के सात साल बाद, ऑफिस सूट अपाचे ओपनऑफिस 4.1.10 की एक सुधारात्मक रिलीज बनाई गई, जिसने 2 सुधार प्रस्तावित किए। Linux, Windows और macOS के लिए रेडीमेड पैकेज तैयार किए जाते हैं।

रिलीज़ एक भेद्यता (सीवीई-2021-30245) को ठीक करता है जो किसी दस्तावेज़ में विशेष रूप से डिज़ाइन किए गए लिंक पर क्लिक करने पर सिस्टम में मनमाना कोड निष्पादित करने की अनुमति देता है। भेद्यता हाइपरटेक्स्ट लिंक के प्रसंस्करण में त्रुटि के कारण है जो "http://" और "https://" के अलावा अन्य प्रोटोकॉल का उपयोग करते हैं, जैसे "smb://" और "dav://"।

उदाहरण के लिए, एक हमलावर अपने एसएमबी सर्वर पर एक निष्पादन योग्य फ़ाइल रख सकता है और दस्तावेज़ में इसका एक लिंक डाल सकता है। जब उपयोगकर्ता इस लिंक पर क्लिक करता है, तो निर्दिष्ट निष्पादन योग्य फ़ाइल बिना किसी चेतावनी के निष्पादित हो जाएगी। हमले को विंडोज़ और जुबंटू पर प्रदर्शित किया गया है। सुरक्षा के लिए, ओपनऑफिस 4.1.10 ने एक अतिरिक्त संवाद जोड़ा है जिसके लिए उपयोगकर्ता को दस्तावेज़ में एक लिंक का अनुसरण करते समय ऑपरेशन की पुष्टि करने की आवश्यकता होती है।

समस्या की पहचान करने वाले शोधकर्ताओं ने नोट किया कि न केवल Apache OpenOffice, बल्कि LibreOffice भी समस्या (CVE-2021-25631) से प्रभावित है। लिबरऑफिस के लिए, फिक्स वर्तमान में लिबरऑफिस 7.0.5 और 7.1.2 के रिलीज में शामिल पैच के रूप में उपलब्ध है, लेकिन यह केवल विंडोज प्लेटफॉर्म पर समस्या को ठीक करता है (निषिद्ध फ़ाइल एक्सटेंशन की सूची अपडेट की गई है) ). लिबरऑफिस डेवलपर्स ने इस तथ्य का हवाला देते हुए लिनक्स के लिए एक फिक्स शामिल करने से इनकार कर दिया कि समस्या उनकी जिम्मेदारी के क्षेत्र में नहीं थी और इसे वितरण/उपयोगकर्ता वातावरण के पक्ष में हल किया जाना चाहिए। ओपनऑफिस और लिबरऑफिस ऑफिस सुइट्स के अलावा, टेलीग्राम, नेक्स्टक्लाउड, वीएलसी, बिटकॉइन/डॉगकॉइन वॉलेट, वायरशार्क और मम्बल में भी इसी तरह की समस्या का पता चला था।

स्रोत: opennet.ru