חולשה ב-LibreOffice מאפשרת למסמך להוציא מידע מהמחשב שפותח אותו ולשלוח אותו לשרת מרוחק. אין כאן הרצת קוד ואין השתלטות, יש זליגה של ערכים שהמחשב מחזיק. הציון הוא 6.7 מתוך 10 בסולם CVSS 4.0, וגרסת התיקון היא 24.8.4.
מה החולשה?
כשמסמך מכיל קישור, התוכנה צריכה לבנות ממנו כתובת מלאה לפני שהיא פונה אליה. בשלב הבנייה הזה היא מרחיבה חלקים שאינם טקסט קבוע אלא הפניה למשהו אחר: משתנה סביבה, למשל, שהוא ערך ששמור במערכת ההפעלה כדי שתוכנות יוכלו לקרוא אותו, או ערך מתוך קובץ ההגדרות של התוכנה עצמה.
הבעיה היא מה קורה כשההרחבה הזאת מתבצעת על קישור שמישהו אחר כתב. לפי הרשומה אפשר לבנות כתובות שמתרחבות כך, ואז המידע שנכנס אל תוך הכתובת נשלח לשרת שהכתובת מצביעה אליו. כלומר המסמך אינו מציג לתוקף את המידע על המסך, הוא מבריח אותו בתוך כתובת שהוא פונה אליה בעצמו.
לסוג הזה של בעיה קוראים חשיפת מידע לגורם לא מורשה, והסיווג שהרשומה נותנת הוא CWE-200.
ומה שיושב בערכים האלה הוא מה שקובע כמה זה חמור. משתני סביבה מחזיקים לרוב את שם המשתמש ואת הנתיבים שלו במערכת, ולעיתים גם דברים שהוכנסו לשם בכוונה, כמו הגדרות חיבור. הרשומה אינה מפרטת אילו ערכים נחשפים, היא אומרת שמידע שעשוי להיות רגיש יכול לצאת.
ושווה לקרוא את הדירוג ולא רק את הציון. הסולם מסמן כאן וקטור מקומי, כלומר הקובץ צריך קודם להגיע אל המחשב, ומעורבות משתמש מהסוג הפסיבי: לא נדרשת מכם פעולה מיוחדת, רק שתפתחו את המסמך. הפגיעה מסומנת בסודיות בלבד, גבוהה, ולא בשלמות ולא בזמינות. זאת חולשה שגונבת, לא שמשתלטת.
מי מושפע?
לפי הרשומה החולשה נוגעת ל-LibreOffice ממהדורת 24.8 ועד 24.8.4, לא כולל, כלומר 24.8.4 היא הגרסה שסוגרת. הרשימה המפורטת שמצורפת מונה גם את 24.8.0.0 בנפרד, וגם את Debian 11, מפני ש-LibreOffice מגיע לחלק מהמשתמשים בתוך ההפצה ולא מהורדה מהאתר.
זאת חולשה שנוגעת לכל אחד, וזה מה שמייחד אותה. LibreOffice היא חבילת מסמכים חינמית, והיא מותקנת בבית, במשרדים קטנים ובמוסדות ציבוריים שבחרו בה במקום בחבילה מסחרית. בישראל זה אומר שהקבוצה המושפעת כוללת משתמשים פרטיים לגמרי, ולא רק צוותי IT.
ולמי שמקבל מסמכים מגורמים שאינו מכיר, בעיקר קורות חיים, הצעות מחיר וחשבוניות, שווה לשים לב: זה בדיוק התרחיש שהחולשה הזאת בנויה עליו.
האם מנוצלת בפועל?
אין דיווח על ניצול. נכון לעדכון הרשומה ב-17 ביוני 2026 החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שרושמת חולשות שנראו בשימוש בפועל. היעדר רשומה בקטלוג אינו אישור שלא נעשה בה שימוש, הוא אומר שלא דווח על כך.
יש כאן בכל זאת נתון ששווה לשים אליו לב. הרשומה פורסמה בינואר 2025, כלומר העדכון קיים כבר יותר משנה וחצי. חולשה שעוברת דרך מסמך אינה תלויה בשרת חשוף לאינטרנט אלא במחשב אחד שלא עודכן, והמחשבים האלה נשארים ישנים זמן רב יותר מהשרתים.
מה עושים?
1. בדקו את הגרסה שלכם. בתפריט העזרה של LibreOffice, באפשרות אודות LibreOffice, מופיע מספר הגרסה המלא.
2. עדכנו ל-24.8.4 או מעלה. אם התקנתם מאתר LibreOffice, הורידו את הגרסה החדשה והתקינו מעליה. אם LibreOffice הגיע עם ההפצה שלכם, קחו את העדכון ממנהל החבילות, ולמשתמשי Debian מצורף ברשומה עדכון ה-LTS.
3. את הפרטים של היצרן קראו בהודעת האבטחה של LibreOffice, ושם מופיעות גם הגרסאות שבהן התיקון נכנס.
4. ואם אתם על מהדורה ישנה יותר מ-24.8, אל תסיקו מכאן שאתם בסדר. הרשומה מתארת את הטווח שבו נמצאה הבעיה הזאת, והיא אינה אומרת דבר על מהדורות שאינן נתמכות עוד. הדרך הנכונה שם היא לעבור למהדורה נתמכת.