Pas tre muajsh zhvillimi dhe shtatë vjetësh që nga lëshimi i fundit të rëndësishëm, është formuar një version korrektiv i paketës së zyrës Apache OpenOffice 4.1.10, i cili ofron 2 rregullime. Paketat e gatshme janë përgatitur për Linux, Windows dhe macOS.
Në këtë lëshim është eliminuar një vulnerabilitet (CVE-2021-30245), i cili lejon ekzekutimin e kodit të rastësishëm në sistem kur klikoni në një lidhje të projektuar posaçërisht në dokument. Vulnerabiliteti shkaktohet nga një gabim në përpunimin e lidhjeve hipertext, ku përdoren protokolle që ndryshojnë nga "http://" dhe "https://", si "smb://" dhe "dav://".
Për shembull, një sulmues mund të vendosë një skedar ekzekutues në serverin e tij SMB dhe të futë një lidhje për të në dokument. Kur përdoruesi të klikojë në këtë lidhje, skedari ekzekutues i përmendur do të ekzekutohet pa paralajmërim. Mundësia e kryerjes së sulmit është demonstruar në Windows dhe Xubuntu. Për të mbrojtur përdoruesit, në OpenOffice 4.1.10 është shtuar një dialog shtesë që kërkon konfirmimin e përdoruesit për operacionin kur kalon në lidhje në dokument.
Hulumtuesit që identifikuan problemin theksuan se preken jo vetëm Apache OpenOffice, por edhe LibreOffice (CVE-2021-25631). Aktualmente, për LibreOffice, zgjidhja është e disponueshme si një patch në versionet e LibreOffice 7.0.5 dhe 7.1.2, por e cila adreson problemin vetëm në platformën Windows (lista e zgjerimeve të ndaluara është përditësuar). Zhvilluesit e LibreOffice refuzuan të përfshijnë një zgjidhje për Linux, duke shpjeguar se problemi nuk bie në përgjegjësinë e tyre dhe duhet të adresohet nga shpërndarjet/mjediset përdoruese. Përveç paketave të zyrës OpenOffice dhe LibreOffice, një problem i ngjashëm është identifikuar gjithashtu në Telegram, Nextcloud, VLC, Bitcoin/Dogecoin Wallet, Wireshark dhe Mumble.
Burimi: opennet.ru
