「Apache OpenOffice 4.1.17」で修正された脆弱性12件が新たに公開、9件は「Important」

「Apache OpenOffice」のセキュリティ情報

　The Apache Software Foundation（ASF）は11月3日（協定世界時、以下同）、オープンソースのオフィス統合環境「Apache OpenOffice」の脆弱性情報を新たに12件公開した。いずれも10月14日に公開された「Apache OpenOffice 4.1.17」で修正済み。同バージョンで修正された脆弱性は、先行して公表されていた「CVE-2026-59265」（深刻度「Critical」）とあわせて13件となった。

　今回公開された12件の深刻度の内訳は、「Important」が9件、「Moderate」と「Medium」が各1件、「Low」が1件。影響範囲はいずれもv4.1.16およびそれ以前で、「OpenOffice.org」も影響を受ける可能性がある。現時点で悪用は確認されていない。

• CVE-2026-59263：細工されたドキュメントが、破損として報告されずに、開くプログラムによって異なる内容を表示する（Low）
• CVE-2026-59264：Windows版インストーラーの検索パスの問題で、すでに改竄されたシステムで外部のコードが昇格した権限で実行される（Moderate）
• CVE-2026-59267：「Draw」でのDXF（LWPOLYLINE）インポート時のヒープバッファーオーバーフロー（Medium）
• CVE-2026-59268：「Microsoft Word」文書（WW8 PLCF）読み込み時の範囲外書き込み（Important）
• CVE-2026-90624：PDFインポート時の範囲外書き込み（Important）
• CVE-2026-90626：暗号化されたPDFファイルのインポート時の範囲外書き込み（Important）
• CVE-2026-90627：フラットファイルデータベースドライバー経由で、ユーザーに確認せずに任意のローカルファイルを読み取られる（Important）
• CVE-2026-90628：PDFエクスポート時、細工されたCFFフォントでスタックオーバーフローが発生し、クラッシュやメモリ破損、コード実行につながるおそれ（Important）
• CVE-2026-90629：WMFインポート時の不正なメモリアクセス（Important）
• CVE-2026-90631：ドキュメント内の外部リンクが確認なしに読み込まれ、環境変数の内容が送信されるおそれ（Important）
• CVE-2026-90632：「GStreamer」マルチメディアコンポーネント経由で任意のローカルファイルを読み込まれ、保存・エクスポート時（PDFなど）に埋め込まれる（Important）
• CVE-2026-90634：暗号化されたPDFファイルのインポート時の範囲外書き込み（Important）

　「Apache OpenOffice」は、Windows/Mac/Linuxに対応する寄付歓迎のフリーソフト。現在、公式サイト「openoffice.org」や窓の杜ライブラリからダウンロードできる。まだv4.1.16以前を利用している場合は、早めにアップデートしておきたい。