V kancelárskom balíku LibreOffice bola zistená zraniteľnosť (CVE-2022-3140), ktorá umožňuje vykonanie ľubovoľných skriptov pri kliknutí na špeciálne pripravený odkaz v dokumente alebo pri aktivácii určitých udalostí počas práce s dokumentom. Problém bol odstránený v aktualizáciách LibreOffice 7.3.6 a 7.4.1.
Zraniteľnosť je spôsobená pridaním podpory pre dodatočnú schému volania makier ‘vnd.libreoffice.command’, ktorá je špecifická pre LibreOffice. Túto schému je možné použiť aj v URI, používaných na integráciu LibreOffice s serverom MS SharePoint. Útočník môže využiť takéto URI na vytváranie odkazov, ktoré vyvolávajú akékoľvek interné makrá s ľubovoľnými argumentmi. Pri kliknutí alebo aktivácii udalosti v dokumente môžu byť takéto odkazy použité na spúšťanie skriptov bez varovania používateľa.
Zdroj: opennet.ru
