Na drie maanden ontwikkeling en zeven jaar sinds de laatste belangrijke release is er een correctieve release van de kantoorsuite Apache OpenOffice 4.1.10 ontwikkeld, die 2 bugfixes biedt. De beschikbare pakketten zijn voorbereid voor Linux, Windows en macOS.
In deze release is een kwetsbaarheid (CVE-2021-30245) verholpen waarmee willekeurige code in het systeem kan worden uitgevoerd door op een speciaal opgemaakte link in een document te klikken. De kwetsbaarheid wordt veroorzaakt door een fout bij de verwerking van hyperlinks die protocollen gebruiken die verschillen van "http://" en "https://", zoals "smb://" en "dav://".
Bijvoorbeeld, een aanvaller kan een uitvoerbaar bestand op zijn SMB-server plaatsen en een link naar dit bestand in een document invoegen. Wanneer de gebruiker op deze link klikt, wordt het opgegeven uitvoerbare bestand zonder waarschuwing uitgevoerd. De mogelijkheid om een aanval uit te voeren is aangetoond in Windows en Xubuntu. Ter bescherming is in OpenOffice 4.1.10 een extra dialoogvenster toegevoegd dat de gebruiker vraagt om de actie te bevestigen bij het volgen van een link in het document.
Onderzoekers die het probleem hebben ontdekt, hebben opgemerkt dat niet alleen Apache OpenOffice kwetsbaar is, maar ook LibreOffice (CVE-2021-25631). Voor LibreOffice is een patch beschikbaar in de versies 7.0.5 en 7.1.2, maar deze lost het probleem alleen op voor het Windows-platform (de lijst met verboden bestandsextensies is bijgewerkt). De ontwikkelaars van LibreOffice hebben geweigerd om een oplossing voor Linux op te nemen, onder het motief dat het probleem niet binnen hun verantwoordelijkheid valt en moet worden opgelost aan de zijde van distributies/gebruikersomgevingen. Naast de kantoorpakketten OpenOffice en LibreOffice is een soortgelijk probleem ook ontdekt in Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark en Mumble.
Bron: opennet.ru
