Nakon tri mjeseca razvoja i sedam godina od posljednjeg značajnog izdanja, pripremljeno je korektivno izdanje uredskog paketa Apache OpenOffice 4.1.10, koje nudi 2 ispravke. Gotovi paketi su pripremljeni za Linux, Windows i macOS.
U izdanju je ispravljena ranjivost (CVE-2021-30245) koja omogućava izvršavanje proizvoljnog koda u sustavu klikom na posebno oblikovanu poveznicu u dokumentu. Ranjivost je uzrokovana pogreškom u obradi hiperlinkova koji koriste protokole različite od „http://“ i „https://“, poput „smb://“ i „dav://“.
Na primjer, napadač može postaviti izvršnu datoteku na svoj SMB poslužitelj i umetnuti poveznicu na nju u dokument. Kada korisnik klikne na tu poveznicu, navedena izvršna datoteka će se bez upozorenja izvršiti. Mogućnost napada je prikazana na Windows i Xubuntu platformama. Da bi se zaštitili, u OpenOffice 4.1.10 dodan je dodatni dijalog koji od korisnika traži potvrdu operacije prilikom prelaska preko poveznice u dokumentu.
Istraživači koji su uočili problem primijetili su da su ne samo Apache OpenOffice, već i LibreOffice podložni ovom problemu (CVE-2021-25631). Za LibreOffice, ispravka je za sada dostupna u obliku zakrpe koja je uključena u izdanja LibreOffice 7.0.5 i 7.1.2, ali rješava problem samo na platformi Windows (ažuriran je popis zabranjenih proširenja datoteka). Razvojni tim LibreOffice odbio je uključiti ispravku za Linux, navodeći da problem leži izvan njihove odgovornosti i treba ga riješiti na strani distribucija/korisničkih okruženja. Osim uredskih paketa OpenOffice i LibreOffice, sličan problem je otkriven i u Telegramu, Nextcloudu, VLC-u, Bitcoin/Dogecoin Walletu, Wiresharku i Mumbleu.
Izvor: opennet.ru
