CVE-2025-64407
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika. Linki te mogą służyć do przesyłania informacji systemowych, takich jak zmienne środowiskowe lub ustawienia konfiguracyjne.
Ocena ryzyka
Otwarcie spreparowanego dokumentu może doprowadzić do wycieku danych konfiguracyjnych systemu bez wiedzy użytkownika. Może to ujawnić informacje przydatne do dalszych ataków.
Rekomendacja
Zaktualizuj Apache OpenOffice do wersji 4.1.16 lub nowszej. Unikaj otwierania dokumentów z niezaufanych źródeł.
Inne podatności w Apache OpenOffice
Zobacz wszystkie- CVE-2014-3524Wysokie
Apache OpenOffice przed wersją 4.1.1 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń oraz potencjalnie wywołanie innych nieokreślonych skutków za pomocą spreparowanego arkusza kalkulacyjnego Calc.
- CVE-2026-59265Wysokie
Podatność umożliwiająca wykonanie kodu w integracji Java w Apache OpenOffice w wersji 4.1.16 i wcześniejszych pozwala spreparowanemu niezaufanemu dokumentowi na wywołanie wykonania dowolnego (nawet zdalnego) kodu po otwarciu przez użytkownika. Poprawka ma zostać wydana w wersji 4.1.17, która jest w fazie release candidate.
- CVE-2025-64406Średnie
W Apache OpenOffice do wersji 4.1.15 występuje podatność zapisu poza granicami bufora. Atakujący może spreparować dokument, który spowoduje awarię programu lub uszkodzenie innych obszarów pamięci.
- CVE-2025-64405Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 arkusze Calc zawierające linki DDE do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
- CVE-2025-64404Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty z obrazami tła lub obrazami punktowanymi linkującymi do plików zewnętrznych ładowały ich zawartość bez monitowania użytkownika.
- CVE-2025-64403Wysokie
Brak autoryzacji w Apache OpenOffice Calc pozwala atakującemu na stworzenie dokumentu, który powoduje ładowanie zewnętrznych źródeł danych bez pytania użytkownika o zgodę. Problem dotyczy wersji do 4.1.15.
- CVE-2025-64402Średnie
Apache OpenOffice zawiera podatność braku autoryzacji, która pozwala atakującemu na stworzenie dokumentu powodującego ładowanie zewnętrznych linków bez pytania użytkownika. Dokumenty z obiektami OLE powiązanymi z zewnętrznymi plikami ładowały ich zawartość bez zgody użytkownika.
- CVE-2025-64401Wysokie
Brak autoryzacji w Apache OpenOffice pozwala atakującemu na przygotowanie dokumentu, który powoduje ładowanie zewnętrznych linków bez pytania użytkownika o zgodę. W wersjach do 4.1.15 dokumenty używające 'floating frames' powiązanych z plikami zewnętrznymi ładowały ich zawartość bez monitowania użytkownika. Problem naprawiono w wersji 4.1.16.
Oryginalny opis (angielski, źródło NVD)
Apache OpenOffice documents can contain links. A missing Authorization vulnerability in Apache OpenOffice allowed an attacker to craft a document that would cause external links to be loaded without prompt. Such links could also be used to transmit system information, such as environment variables or configuration settings. In the affected versions of Apache OpenOffice, documents that used a certain URI scheme linking to external files would load the contents of such files without prompting the user for permission to do so. Such URI scheme allows to include system configuration data, that is not supposed to be transmitted externally. This issue affects Apache OpenOffice: through 4.1.15. Users are recommended to upgrade to version 4.1.16, which fixes the issue. The LibreOffice suite reported this issue as CVE-2024-12426.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS