Dieses Update ist Pflicht für jeden der die Software nutzt
Ohne Update genügt eine einfache HTML-Zeile in einer Office-Datei und beim Öffnen führt LibreOffice beliebige Befehle auf dem System aus.
Mit einem lapidaren Security-Advisory warnt LibreOffice vor einem Security-GAU: Bereits beim Öffnen einer ODT-Datei führt LibreOffice unter Umständen beliebige Befehle aus. Ganz ohne weitere Nachfragen oder gelbe Balken mit Warnungen, die man wegklicken müsste.
Bei Makros denkt man eigentlich an Microsoft Office, wo Cyber-Kriminelle deren Möglichkeiten bereits seit Jahren nutzen, um im großen Stil Systeme zu infizieren. Doch auch LibreOffice beherrscht Makros. Und wenn man die geschickt in ein HTML-Element einbettet, führt sie LibreOffice beim Start direkt ohne weitere Nachfragen oder Warnungen aus. Dazu genügt es offenbar, etwas wie
<iframe src='macro:Shell("command")'></iframe>
in die Datei zu schreiben, um „command“ auszuführen. In Tests funktionierte das auf einem Mac; Windows- und Linux-Versionen dürften von diesem Problem (CVE-2022-3140) ebenfalls betroffen sein (auch wenn das Advisory zu OS-Versionen nichts sagt). Erst die Versionen LibreOffice 7.3.6 und 7.4.1 führen zusätzliche Checks ein und zeigen stattdessen eine Warnung zu Makros an. Nutzer von LibreOffice sollten ihre Installation schleunigst aktualisieren.