Dopo tre mesi di sviluppo e sette anni dall'ultimo significativo rilascio, è stata formata una versione correttiva della suite per ufficio Apache OpenOffice 4.1.10, che offre 2 correzioni. I pacchetti pronti sono stati preparati per Linux, Windows e macOS.
Nel rilascio è stata corretta una vulnerabilità (CVE-2021-30245) che consente l'esecuzione di codice arbitrario nel sistema facendo clic su un link appositamente formattato nel documento. La vulnerabilità è causata da un errore nella gestione dei collegamenti ipertestuali che utilizzano protocolli diversi da "http://" e "https://", come "smb://" e "dav://".
Ad esempio, un attaccante può posizionare un file eseguibile sul proprio server SMB e inserire un collegamento a questo file nel documento. Quando l'utente fa clic su questo collegamento, il file eseguibile specificato verrà eseguito senza preavviso. La possibilità di attacco è stata dimostrata su Windows e Xubuntu. Per proteggere gli utenti, in OpenOffice 4.1.10 è stato aggiunto un ulteriore dialogo che richiede conferma da parte dell'utente prima di procedere al collegamento nel documento.
I ricercatori che hanno individuato il problema hanno notato che non solo Apache OpenOffice, ma anche LibreOffice è vulnerabile (CVE-2021-25631). Per LibreOffice, una correzione è attualmente disponibile come patch, inclusa nelle versioni LibreOffice 7.0.5 e 7.1.2, ma risolve il problema solo sulla piattaforma Windows (è stato aggiornato l'elenco delle estensioni di file vietate). Gli sviluppatori di LibreOffice hanno rifiutato di includere una correzione per Linux, motivando la loro decisione con il fatto che il problema non rientra nella loro responsabilità e deve essere risolto dai distributori/ambienti utente. Oltre ai pacchetti per ufficio OpenOffice e LibreOffice, un problema simile è stato identificato anche in Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark e Mumble.
Fonte: opennet.ru
