Három hónapnyi fejlesztés és hét év a legutóbbi jelentős kiadás óta, elkészült az Apache OpenOffice 4.1.10 javító kiadása, amelyben két javítást ajánlanak. A kész csomagok Linuxra, Windowsra és macOS-ra készültek.
A kiadásban megszüntették a (CVE-2021-30245) sebezhetőséget, amely lehetővé teszi tetszőleges kód végrehajtását a rendszerben, ha egy különlegesen elkészített linkre kattintanak egy dokumentumban. A sebezhetőséget egy hiba okozza a hivatkozások feldolgozása során, amely protokollokat használ, amelyek eltérnek a "http://" és "https://" protokolloktól, mint például a "smb://" és "dav://".
Például a támadó végrehajtó fájlt helyezhet el a saját SMB-szerverén, és beszúrhat egy hivatkozást a dokumentumban erre. Ha a felhasználó rákattint erre a hivatkozásra, a megadott végrehajtó fájl figyelmeztetés nélkül végrehajtásra kerül. A támadás lehetőségét a Windows és az Xubuntu rendszerekben demonstrálták. Az OpenOffice 4.1.10-ben egy további párbeszédpanel került bevezetésre, amely megköveteli a felhasználótól a művelet megerősítését, amikor linkekre kattint a dokumentumban.
A problémát felfedező kutatók megjegyezték, hogy a hiba nemcsak az Apache OpenOffice-t érinti, hanem a LibreOffice-ot is (CVE-2021-25631). A LibreOffice számára a javítás egyelőre patch formájában elérhető, amely a LibreOffice 7.0.5 és 7.1.2 kiadásaiba került, de a probléma csak a Windows platformon szünteti meg (frissült a tiltott fájlok kiterjesztéseinek listája). A Linuxra vonatkozó javítást a LibreOffice fejlesztői elutasították, azt érvelve, hogy a probléma nem az ő felelősségi körükbe tartozik, és azt a disztribúciók / felhasználói környezetek oldalán kell megoldani. Az OpenOffice és LibreOffice irodai csomagok mellett hasonló problémát fedeztek fel a Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark és Mumble alkalmazásokban is.
Forrás: opennet.ru
