「LibreOffice」に任意の場所へファイルを保存される問題など2件の脆弱性【2月18日追記】

The Document Foundationのアナウンス

　The Document Foundationは1月7日（中央ヨーロッパ時間）、「LibreOffice」に確認された2件の脆弱性「CVE-2024-12425」と「CVE-2024-12426」を公表した。

　「CVE-2024-12425」は、攻撃者は埋め込みフォントファイルのパス名を含むドキュメントを作成し、任意の場所に拡張子「.ttf」のファイルを書き込めてしまうというもの。
　一方、「CVE-2024-12426」は、ドキュメントのURLを使って環境変数やINIファイルの値がリモートサーバーに流出してしまうというもの。

　これらの問題は、2024年12月に公開された最新版の「LibreOffice 24.8.4」で修正済み。速やかなアップデートをお勧めする。

　「LibreOffice」は、オープンソースのオフィス統合環境。Windows/macOS/Linuxなどに対応する寄付歓迎のフリーソフトで、本ソフトの公式サイトや窓の杜ライブラリからダウンロードできる。

［2025年2月18日編集部追記］ 2月12日付で、オランダのセキュリティ分析会社Codean Labsから、「CVE-2024-12425」と「CVE-2024-12426」の概念実証コード（PoC）が発表された。PoCを悪用した攻撃も考えられるので、極力早く最新版へ更新する必要がある。