Phát hiện lỗ hổng an ninh nghiêm trọng trong Apache OpenOffice

[tathoa0607]

Phát hiện hai lỗ hổng an ninh nghiêm trọng trong Apache OpenOffice bản 4.1.13 - 4.1.14 có khả năng bị tin tặc lợi dụng trong các cuộc tấn công Mail Phishing.

​

Apache OpenOffice, là một trong những phần mềm văn phòng mã nguồn mở phổ biến nhất trên thế giới và được sử dụng bởi hàng triệu người dùng trên toàn cầu, với các ứng dụng đa dạng được phát triển bởi Apache Software Foundation hỗ trợ trên nhiều ngôn ngữ, hệ điều hành, bao gồm Windows, macOS và Linux.

Lỗ hổng đầu tiên có mã định danh là CVE-2022-38745, bắt nguồn từ việc các phiên bản Apache OpenOffice trước 4.1.14 có thể được cấu hình để thêm một mục trống (empty entry) vào đường dẫn lớp Java, dẫn đến việc thực thi mã Java tùy ý.

Việc phát hiện và báo cáo về CVE-2022-38745 đã được thực hiện bởi European Commission’s Open Source Programme Office (EC OSPO).

Lỗ hổng thứ hai được xác định là CVE-2022-47502, liên quan đến các tài liệu có chứa các liên kết độc hại. Liên kết độc hại có thể được kích hoạt bằng cách người dùng tự động nhấp chuột hoặc bằng các trình đọc tài liệu tự động.

Tuy nhiên, trong một số phiên bản OpenOffice bị ảnh hưởng, có khả năng dẫn đến việc thực thi tập lệnh tùy ý mà không có bất kỳ cảnh báo nào. Lỗ hổng an ninh này đã có bằng chứng và được đội phát triển ghi nhận.

Biện pháp giảm nhẹ

Để giảm thiểu sự ảnh hưởng của 2 lỗ hổng trên, người dùng được khuyến cáo nên cài đặt Apache OpenOffice 4.1.14, cho đến khi có cập nhật mới nhất.

Theo: securityonline​