OpenOffice 4.1.17 13 güvenlik açığını kapattı

Apache OpenOffice projesi, 14 Ekim’de çıkardığı 4.1.17 sürümünde 13 güvenlik açığını kapattı. Açıkların teknik ayrıntıları 3 Kasım’da oss-security listesinde yayımlandı, NVD kayıtları da 4 Kasım’da eklendi. Etkilenen sürüm aralığı 4.1.16 ve öncesi. Proje, tüm kullanıcılara 4.1.17’ye geçmelerini öneriyor.

Sürüm, 41 dilde Windows, macOS ve Linux için indirilebilir durumda. Yeni özellik getirmiyor; yalnızca güvenlik düzeltmeleri, hata gidermeleri ve güncel sözlükler içeriyor.

En yüksek puanlı açık Java entegrasyonunda

Listedeki en ağır sorun CVE-2026-59265. CVSS puanı 8.8 olan açık, OpenOffice’in Java entegrasyonunda. Kullanıcı güvenilmeyen bir belgeyi açtığında saldırganın hazırladığı kod çalışabiliyor; Apache, kodun uzak bir adresten de gelebileceğini belirtiyor. 4.1.17 bu açığı kapatıyor. Güncellemeyi hemen yapamayanlar Tercihler menüsünden OpenOffice bölümüne, oradan Java ayarlarına girip çalışma zamanı entegrasyonunu kapatabilir. Apache bu ayarın saldırıyı durdurduğunu söylüyor.

Word, PDF, DXF ve WMF dosyaları da risk altında

Belge biçimlerini işleyen kodda birden fazla bellek hatası var. Writer’ın Word (WW8) okuyucusunda CVE-2026-59268 numaralı taşma 7.3 puanlı; hazırlanmış bir Word dosyası programı çökertiyor ya da belleği bozuyor. Draw tarafında CVE-2026-59267, DXF dosyasıyla yığın tamponunu taşırıyor ve 7.8 puan taşıyor.

PDF tarafı daha kalabalık. CVE-2026-90624, CVE-2026-90626 ve CVE-2026-90634 içe aktarma kodunda sınır dışına yazmaya yol açıyor, üçü de 7.3 puanlı. Dışa aktarma sırasında CFF font işleyen CVE-2026-90628 ise yığın taşmasına neden oluyor; Apache bu açığın “başka kod çalıştırmaya” kadar gidebileceğini yazıyor. WMF içe aktarmada CVE-2026-90629 da geçersiz bellek erişimiyle programı düşürebiliyor.

Dosya okuma ve sahte içerik açıkları

Daha düşük puanlı ama rahatsız edici açıklar da var. CVE-2026-90627, düz dosya veritabanı sürücüsü üzerinden kullanıcıya sormadan yerel dosyaların içeriğini okutabiliyor. CVE-2026-90632, belgeye gömülen ses ya da video üzerinden GStreamer bileşenini kullanıp yerel bir dosyayı belgeye ekletiyor. CVE-2026-59263 ise hazırlanmış bir belgenin farklı programlarda farklı içerik göstermesine dayanıyor; kullanıcı ekranda gördüğünden başka bir veriyi onaylayabiliyor. CVE-2026-90631 numaralı düşük puanlı sorunda belgedeki dış bağlantılar sorulmadan yükleniyor ve ortam değişkenleri sızabiliyor.

Windows kurulum paketinde de bir sorun var. CVE-2026-59264, 4.1.16 ve öncesinin kurulum dosyalarında arama yolunun kontrolsüz kalmasına dayanıyor; zaten ele geçirilmiş bir sistemde yüksek yetkiyle harici kod çalıştırılabiliyor.

Ne yapmalı

OpenOffice 4.1.16 ya da daha eski bir sürüm kullanıyorsanız 4.1.17’ye geçin. Yardım menüsündeki Güncellemeleri denetle seçeneği işi görür; kurulum dosyasını openoffice.org adresinden de indirebilirsiniz. Güncelleme sonrası Yardım menüsünden OpenOffice Hakkında ekranını açıp sürüm numarasını doğrulayın.

Java entegrasyonuna ihtiyacınız yoksa kapalı tutun. Tanımadığınız kişilerden gelen Word, PDF, DXF ve WMF dosyalarını açmayın; makro güvenlik düzeyini yüksekte bırakın. Bu açıkların hiçbiri şu an aktif saldırıda kullanılmıyor, ancak dosya işleyen hatalar yamalanmadan bırakıldığında genelde birkaç ay içinde sömürülmeye başlıyor.

Kaynak: Apache OpenOffice güvenlik bülteni · NVD