Három hónapos fejlesztés és az utolsó jelentős kiadás óta eltelt hét év után elkészült az Apache OpenOffice 4.1.10 irodai programcsomag javító kiadása, amely 2 javítást javasolt. A kész csomagok Linuxra, Windowsra és macOS-re készülnek.
A kiadás egy biztonsági rést (CVE-2021-30245) javít, amely lehetővé teszi tetszőleges kód futtatását a rendszerben, amikor egy dokumentumban egy speciálisan kialakított hivatkozásra kattintanak. A biztonsági rés a „http://” és „https://” protokolltól eltérő protokollt használó hiperszöveges hivatkozások feldolgozása során fellépő hibából adódik, például „smb://” és „dav://”.
A támadó például elhelyezhet egy végrehajtható fájlt az SMB-kiszolgálón, és beilleszthet egy hivatkozást egy dokumentumba. Amikor a felhasználó erre a hivatkozásra kattint, a megadott végrehajtható fájl figyelmeztetés nélkül lefut. A támadást Windows és Xubuntu rendszeren mutatták be. A biztonság érdekében az OpenOffice 4.1.10 hozzáadott egy további párbeszédpanelt, amely megköveteli, hogy a felhasználó megerősítse a műveletet, amikor egy dokumentumban található hivatkozást követ.
A problémát azonosító kutatók megjegyezték, hogy nem csak az Apache OpenOffice-t, hanem a LibreOffice-t is érinti a probléma (CVE-2021-25631). A LibreOffice esetében a javítás jelenleg a LibreOffice 7.0.5 és 7.1.2 kiadásában található javítás formájában érhető el, de csak Windows platformon oldja meg a problémát (a tiltott fájlkiterjesztések listája frissült ). A LibreOffice fejlesztői megtagadták a javítást a Linux számára, arra hivatkozva, hogy a probléma nem tartozik az ő felelősségi körükbe, és a disztribúciók/felhasználói környezetek oldalán kellene megoldani. Az OpenOffice és a LibreOffice irodai csomagokon kívül a Telegram, a Nextcloud, a VLC, a Bitcoin/Dogecoin Wallet, a Wireshark és a Mumble esetében is hasonló problémát észleltek.
Forrás: opennet.ru