U slobodnom uredskom paketu LibreOffice otkrivena je ranjivost (CVE-2022-3140) koja omogućava izvršenje proizvoljnih skripti pritiskom na posebno pripremljenu vezu u dokumentu ili prilikom aktiviranja određenog događaja tijekom rada s dokumentom. Problem je rešen u ažuriranjima LibreOffice 7.3.6 i 7.4.1.
Ranjivost je uzrokovana dodavanjem podrške za dodatnu shemu pozivanja makronaredbi 'vnd.libreoffice.command', specifičnu za LibreOffice. Ova shema se također može koristiti u URI-ima, korištenim za integraciju LibreOffice s serverom MS SharePoint. Napadač može iskoristiti takve URI-e za kreiranje veza koje pozivaju bilo koje unutarnje makronaredbe s proizvoljnim argumentima. Pritiskom ili aktiviranjem putem događaja unutar dokumenta, takve veze mogu se koristiti za pokretanje skripti bez prikazivanja upozorenja korisniku.
Izvor: opennet.ru
