Dopo tre mesi di sviluppo e sette anni dall'ultima versione principale, è stata rilasciata una versione minore della suite per ufficio Apache OpenOffice 4.1.10, che offre due correzioni. I pacchetti finali sono pronti per Linux, Windows и macOS.
Questa versione corregge una vulnerabilità (CVE-2021-30245) che poteva consentire l'esecuzione di codice arbitrario cliccando su un collegamento appositamente creato in un documento. La vulnerabilità è causata da un errore nella gestione dei collegamenti ipertestuali che utilizzano protocolli diversi da "http://" e "https://", come "smb://" e "dav://".
Например, атакующий может разместить исполняемый файл на своём SMB-сервере и вставить в документ на него ссылку. При клике пользователя на данной ссылке, указанный исполняемый файл без предупреждения будет выполнен. Возможность совершения атаки продемонстрирована в Windows и Xubuntu. Для защиты в OpenOffice 4.1.10 добавлен дополнительный диалог, требующий от пользователя подтверждения операции при переходе по ссылке в документе.
Выявившие проблему исследователи отметили, что проблеме подвержен не только Apache OpenOffice, но и LibreOffice (CVE-2021-25631). Для LibreOffice исправление пока доступно в виде патча, вошедшего в состав выпусков LibreOffice 7.0.5 и 7.1.2, но устраняющего проблему только на платформе Windows (обновлён список запрещённых расширений файлов). Исправление для Linux разработчики LibreOffice отказались включать, мотивируя своё решение тем, что проблема лежит не в их зоне ответственности и должна быть устранена на стороне дистрибутивов/пользовательских окружений. Кроме офисных пакетов OpenOffice и LibreOffice аналогичная проблема также выявлена в Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark и Mumble.
Fonte: opennet.ru
