Foi identificada uma vulnerabilidade no pacote de escritório livre LibreOffice (CVE-2022-3140) que permite a execução de scripts arbitrários ao clicar em um link especialmente preparado no documento ou ao acionar um determinado evento durante o trabalho com o documento. O problema foi corrigido nas atualizações do LibreOffice 7.3.6 e 7.4.1.
A vulnerabilidade é causada pela adição de suporte a um esquema de chamada de macros 'vnd.libreoffice.command', específico para o LibreOffice. Esse esquema também pode ser utilizado em URIs empregadas para integração do LibreOffice com servidor MS SharePoint. Um atacante pode usar tais URIs para criar links que chamam quaisquer macros internas com argumentos arbitrários. Ao clicar ou ativar um evento no documento, esses links podem ser utilizados para executar scripts sem alertar o usuário.
Fonte: opennet.ru
