Објавен Apache OpenOffice 4.1.10 со поправка за ранливост што влијае на LibreOffice

По три месеци развој и седум години од последното значајно издание, беше формирано корективно издание на канцеларискиот пакет Apache OpenOffice 4.1.10, кој предложи 2 поправки. Подготвени се готови пакети за Linux, Windows и macOS.

Изданието поправа ранливост (CVE-2021-30245) што овозможува произволен код да се изврши во системот при кликнување на специјално дизајнирана врска во документ. Ранливоста се должи на грешка во обработката на хипертекст врски кои користат протоколи различни од „http://“ и „https://“, како што се „smb://“ и „dav://“.

На пример, напаѓачот може да постави извршна датотека на својот SMB сервер и да вметне врска до неа во документ. Кога корисникот ќе кликне на оваа врска, наведената извршна датотека ќе се изврши без предупредување. Нападот е демонстриран на Windows и Xubuntu. За безбедност, OpenOffice 4.1.10 додаде дополнителен дијалог кој бара од корисникот да ја потврди операцијата кога следи врска во документ.

Истражувачите кои го идентификуваа проблемот забележаа дека не само Apache OpenOffice, туку и LibreOffice е засегнат од проблемот (CVE-2021-25631). За LibreOffice, поправката е моментално достапна во форма на лепенка вклучена во изданијата на LibreOffice 7.0.5 и 7.1.2, но го поправа проблемот само на платформата Windows (списокот на забранети екстензии на датотеки е ажуриран ). Програмерите на LibreOffice одбија да вклучат поправка за Linux, наведувајќи го фактот дека проблемот не е во нивната област на одговорност и треба да се реши на страната на дистрибуциите/корисничките средини. Покрај канцелариите OpenOffice и LibreOffice, сличен проблем беше откриен и во Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark и Mumble.

Извор: opennet.ru