En sårbarhet i LibreOffice som möjliggör att scripts kan köras när man arbetar med ett dokument

I det kostnadsfria kontorsprogrammet LibreOffice har en sårbarhet (CVE-2022-3140) upptäckts som möjliggör utförande av godtyckliga skript genom att klicka på en speciellt förberedd länk i dokumentet eller genom att ett visst evenemang inträffar under användning av dokumentet. Problemet har åtgärdats i uppdateringarna LibreOffice 7.3.6 och 7.4.1.

Sårbarheten orsakas av att stöd för en extra makroschemanamn 'vnd.libreoffice.command', specifik för LibreOffice, har lagts till. Denna schemanamn kan även användas i URI:er som tillämpas för att integrera LibreOffice med servern MS SharePoint. En angripare kan utnyttja sådana URI:er för att skapa länkar som anropar godtyckliga interna makron med godtyckliga argument. Genom att klicka eller aktivera händelser i dokumentet kan sådana länkar användas för att köra skript utan att avge en varning till användaren.

Källa: opennet.ru