Apache OpenOffice открывает файлы десятков форматов: документы Word, чертежи, PDF, шрифты. Ошибки в разборе этих форматов и собрал ноябрьский бюллетень безопасности. Часть уязвимостей позволяет выполнить чужой код, часть - прочитать файлы на машине, другие приводят к падению программы. Под угрозой все, кто открывает в OpenOffice документы из внешних источников.
Что именно ломается
Записи опубликованы 4 ноября 2026 года, бюллетень датирован 5 ноября. Уровень опасности в них разный, от низкого до высокого. Для части записей CISA-ADP указала 7,3 по CVSS 3.1 - это оценка координатора, а не разработчика. Большинство находок сделали внешние исследователи: Anthropic и Ada Logics подписали уязвимости в разборе PDF, WMF и шрифтов, Codean Labs - утечки через локальные файлы и внешние ссылки, Trail of Bits - переполнение в чертежах.
Документы, чертежи и PDF
Чтение файлов Word оборачивается записью за границами буфера: программа пишет данные туда, где для них нет места. Специально собранный документ роняет OpenOffice или портит соседние области памяти. Это CVE-2026-59268, ошибку нашёл Yukihiro Nakamura.
Похожая картина в импорте чертежей DXF для Draw - переполнение кучи при разборе одного из элементов. Здесь оценка ниже: 5,8 по CVSS 4.0 при высокой сложности эксплуатации (CVE-2026-59267). Нашли её Trail of Bits вместе с Anthropic.
Дальше - импорт PDF. В коде разбора не проверяется обращение к памяти, поэтому собранный файл вызывает запись за границами буфера. Записи CVE-2026-90624 и CVE-2026-90626 описывают это для обычных и зашифрованных PDF. CVE-2026-90634 повторяет ту же картину.
Графика тоже уязвима. Файл WMF вызывает некорректное обращение к памяти при импорте (CVE-2026-90629). Шрифт CFF переполняет стек при экспорте в PDF, и источник прямо допускает выполнение чужого кода (CVE-2026-90628).
Локальные файлы и внешние ссылки
Две уязвимости открывают доступ к файлам на диске. Драйвер плоских баз данных позволяет документу прочитать содержимое любого локального файла, не спрашивая пользователя (CVE-2026-90627). Мультимедийный компонент GStreamer подставляет содержимое локального файла в документ при сохранении или экспорте в PDF (CVE-2026-90632).
Ещё одна запись касается ссылок. Документ может ссылаться на внешний ресурс, и обработчик загружает его без запроса - попутно могут уйти значения переменных окружения (CVE-2026-90631). Оценка низкая, 3,3 по CVSS 3.1.
Такие утечки опасны не саму по себе. Внутренний документ, пришедший от подрядчика, читает файлы на рабочей станции и уносит их в экспорте. Обнаружить это по журналам сложно: OpenOffice работает локально, сетевых запросов может не быть вовсе.
Установщик и подмена содержимого
Установщик для Windows ищет компоненты по пути, который можно подменить (CVE-2026-59264). Сработает это только на уже подготовленной системе: сначала рядом с установщиком кладут чужой файл, потом запускают установку. Разработчик описал уровень словами moderate, CISA-ADP поставила 7,8 по CVSS 3.1.
Последняя запись не даёт выполнить код. Документ с изменённым содержимым открывается как обычный и показывает не то, что в нём записано, вместо сообщения о повреждении (CVE-2026-59263). Оценка - 1,9 по CVSS 4.0.
Сведений об эксплуатации в реальных атаках нет. CISA-ADP проставляет в записях Exploitation: none и Automatable: no, то есть готового эксплойта и автоматического распространения на момент публикации не зафиксировано. Условия атаки при этом простые: почти везде достаточно, чтобы пользователь открыл подготовленный файл.
Исправление вышло. OpenOffice 4.1.17 устраняет перечисленные уязвимости, обходных мер разработчик не предложил. Обновляться нужно с 4.1.16 и более ранних версий. Документы приходят по почте и из общих папок, а часть ошибок срабатывает при простом открытии - без макросов и дополнительных действий. Для организаций это значит, что фильтрация вложений на шлюзе остаётся единственным барьером до установки патча.
Ссылки
- https://www.openoffice.org/security/cves/CVE-2026-59263.html
- https://www.openoffice.org/security/cves/CVE-2026-59264.html
- https://www.openoffice.org/security/cves/CVE-2026-59267.html
- https://www.openoffice.org/security/cves/CVE-2026-59268.html
- https://www.openoffice.org/security/cves/CVE-2026-90624.html
- https://www.openoffice.org/security/cves/CVE-2026-90626.html
- https://www.openoffice.org/security/cves/CVE-2026-90627.html
- https://www.openoffice.org/security/cves/CVE-2026-90628.html
- https://www.openoffice.org/security/cves/CVE-2026-90629.html
- https://www.openoffice.org/security/cves/CVE-2026-90631.html
- https://www.openoffice.org/security/cves/CVE-2026-90632.html
- https://www.openoffice.org/security/cves/CVE-2026-90634.html
