In de gratis kantoorsuite LibreOffice is een kwetsbaarheid ontdekt (CVE-2022-3140) die het mogelijk maakt om willekeurige scripts uit te voeren bij het klikken op een speciaal voorbereide link in een document of bij het optreden van een specifiek evenement tijdens het werken met een document. Het probleem is verholpen in de updates van LibreOffice 7.3.6 en 7.4.1.
De kwetsbaarheid is veroorzaakt door de toevoeging van ondersteuning voor een extra macro-aanroep-schema āvnd.libreoffice.commandā, specifiek voor LibreOffice. Dit schema kan onder andere worden gebruikt in URI's die worden toegepast voor de integratie van LibreOffice met server MS SharePoint. Een aanvaller kan dergelijke URI's gebruiken om links te maken die interne macro's met willekeurige parameters aanroepen. Bij een klik of activatie via een evenement in het document kunnen dergelijke links worden gebruikt om scripts uit te voeren zonder een waarschuwing aan de gebruiker weer te geven.
Bron: opennet.ru
