经过三个月的开发，自上次重要版本发布七年后，办公套件 Apache OpenOffice 4.1.10 的修正版本形成，其中提出了 2 个修复。 现成的软件包适用于 Linux、Windows 和 macOS。
该版本修复了一个漏洞（CVE-2021-30245），该漏洞允许在单击文档中专门设计的链接时在系统中执行任意代码。 该漏洞是由于处理使用“http://”和“https://”以外的协议的超文本链接（例如“smb://”和“dav://”）时出现错误造成的。
例如，攻击者可以将可执行文件放置在其 SMB 服务器上，并将指向该文件的链接插入到文档中。 当用户单击此链接时，指定的可执行文件将在没有警告的情况下执行。 该攻击已在 Windows 和 Xubuntu 上进行了演示。 为了安全起见，OpenOffice 4.1.10 添加了一个附加对话框，要求用户在点击文档中的链接时确认操作。
发现该问题的研究人员指出，不仅 Apache OpenOffice，而且 LibreOffice 也受到该问题 (CVE-2021-25631) 的影响。 对于 LibreOffice，该修复目前以 LibreOffice 7.0.5 和 7.1.2 版本中包含的补丁的形式提供，但仅修复了 Windows 平台上的问题（禁止的文件扩展名列表已更新） ）。 LibreOffice 开发人员拒绝包含针对 Linux 的修复程序，理由是该问题不属于他们的职责范围，应该在发行版/用户环境方面解决。 除了 OpenOffice 和 LibreOffice 办公套件之外，Telegram、Nextcloud、VLC、Bitcoin/Dogecoin Wallet、Wireshark 和 Mumble 中也检测到了类似的问题。
来源： opennet.ru