LibreOffice zatvara ranjivost u Calc-u, OpenOffice još nema zakrpu
Napadač može da pripremi tabelarni dokument koji, uz uključenu Java podršku, pokrene kod čim se otvori. LibreOffice je propust već ispravio, dok Apache OpenOffice savetuje privremeno gašenje Jave.
Ranjivost u tabelarnim programima LibreOffice Calc i Apache OpenOffice Calc omogućava da zlonamerna tabela pokrene kod napadača čim se dokument otvori, bez upozorenja kakvo oba programa prikazuju pre pokretanja makroa.
Uslov je da je u programu uključena Java podrška. Do sada je objavljen samo dokaz koncepta i nema izveštaja da se propust koristi u stvarnim napadima. Istraživači su ga testirali na Windows-u i Linux-u i navode da nije vezan za jedan operativni sistem.
LibreOffice propust prati pod oznakom CVE-2026-63277. Ispravka je objavljena 5. oktobra, a preporučuje se prelazak na verziju 26.2.5 ili 26.8.0; sve starije verzije su ranjive.
Apache OpenOffice istu ranjivost vodi kao CVE-2026-59265 i još nema ispravku. Pogođene su sve verzije zaključno sa 4.1.16, a ispravka se očekuje u verziji 4.1.17, koja je u testiranju. Do tada treba isključiti Java podršku u podešavanjima ili ne otvarati tabele iz neproverenih izvora.
Problem nastaje kada se spoje dve uobičajene funkcije Calc-a: automatsko osvežavanje opsega podataka iz baze i mogućnost da dokument navede Java drajver. Program tada preuzme i pokrene kod, a da korisnika ne pita da dokumentu veruje.
Šta uraditi
- Proveriti koja se verzija LibreOffice-a koristi i nadograditi je na 26.2.5 ili 26.8.0.
- Ako se koristi Apache OpenOffice, isključiti Java podršku u podešavanjima dok ne bude objavljena verzija 4.1.17.
- Ne otvarati tabele iz nepoznatih izvora.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove