「LibreOffice」に脆弱性、リンクの［Ctrl］＋クリックで実行ファイルが起動してしまう

The Document Foundationのアナウンス

　The Document Foundationは2月25日（中央ヨーロッパ時間）、「LibreOffice」のセキュリティ情報を新たに公開した。

　「LibreOffice」には［Ctrl］キーを押しながら文書内のハイパーリンクをクリックしてアクティブにする機能があり、Windows環境ではそのリンクが「ShellExecute」関数に渡される仕様になっている。実行ファイルの起動に悪用される可能性に対しては、実行ファイルへのパスが渡されたときは起動をブロックする仕組みを導入することで対処していた。

　しかし、「LibreOffice 24.8.5」より前のバージョンにはこのブロック機構に欠陥があり、回避されるおそれがあったという。最新の「LibreOffice 24.8.5」で対策されているので、アップデートがまだの場合は早めに済ませておきたい。

　なお、この問題は先日リリースされたばかりの新しいメジャーバージョン「LibreOffice 25.2」シリーズには影響しないようだ。