Pēc trīs mēnešu izstrādes un septiņiem gadiem kopš pēdējā nozīmīgā izlaiduma tika izveidots biroja komplekta Apache OpenOffice 4.1.10 koriģējošais laidiens, kurā tika piedāvāti 2 labojumi. Gatavās pakotnes ir sagatavotas operētājsistēmai Linux, Windows un macOS.
Laidienā ir novērsta ievainojamība (CVE-2021-30245), kas ļauj sistēmā izpildīt patvaļīgu kodu, noklikšķinot uz īpaši izveidotas saites dokumentā. Ievainojamība ir radusies kļūdas dēļ, apstrādājot hiperteksta saites, kas izmanto protokolus, kas nav “http://” un “https://”, piemēram, “smb://” un “dav://”.
Piemēram, uzbrucējs var ievietot izpildāmu failu savā SMB serverī un ievietot saiti uz to dokumentā. Kad lietotājs noklikšķina uz šīs saites, norādītais izpildāmais fails tiks izpildīts bez brīdinājuma. Uzbrukums ir demonstrēts operētājsistēmām Windows un Xubuntu. Drošības nolūkos OpenOffice 4.1.10 pievienoja papildu dialoglodziņu, kurā lietotājam ir jāapstiprina darbība, sekojot saitei dokumentā.
Pētnieki, kas identificēja problēmu, atzīmēja, ka problēma skar ne tikai Apache OpenOffice, bet arī LibreOffice (CVE-2021-25631). LibreOffice labojums pašlaik ir pieejams ielāpa veidā, kas iekļauts LibreOffice 7.0.5 un 7.1.2 laidienos, taču tas novērš problēmu tikai Windows platformā (aizliegto failu paplašinājumu saraksts ir atjaunināts ). LibreOffice izstrādātāji atteicās iekļaut labojumu operētājsistēmai Linux, pamatojot to ar faktu, ka problēma nebija viņu atbildības jomā un tā ir jāatrisina izplatījumu/lietotāju vides pusē. Papildus OpenOffice un LibreOffice biroja komplektiem līdzīga problēma tika atklāta arī Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark un Mumble.
Avots: opennet.ru