Software-update: Apache OpenOffice 4.1.11

Versie 4.1.11 van OpenOffice is uitgekomen. Dit opensource-officepakket is in 1984 begonnen als StarOffice. In 1999 is het in handen van Sun Microsystems gekomen en vervolgens is het in 2010 bij Oracle terechtgekomen. Nadat een aantal ontwikkelaars uit onvrede over hoe Oracle dit project aanstuurde naar LibreOffice is overgestapt, is uiteindelijk de broncode aan de Apache Software Foundation gedoneerd. OpenOffice wordt geleverd met een tekstverwerker (Writer), een spreadsheetprogramma (Calc), een presentatieprogramma (Impress), een tekenprogramma (Draw), een databaseprogramma (Base) en een programma om wetenschappelijke notaties te maken (Formula). De changelog voor deze uitgave ziet er als volgt uit:

Security

• CVE-2021-33035 - Buffer overflow from a crafted DBF file
• CVE-2021-40439 - Billion Laughs
• CVE-2021-28129 - DEB packaging for Apache OpenOffice 4.1.8 installed with a non-root userid and groupid
• CVE-2021-41830 - Double Certificate Attack
• CVE-2021-41831 - Timestamp Manipulation with Signature Wrapping
• CVE-2021-41832 - Content Manipulation with Certificate Validation Attack

Improvements/Enhancements

• Help text font size is small (hard to read) and not adjustable persistently
• Add Fontwork to Insert menu
• PDF export icon missing in File menu

Bug Fixes

• New security warning introduce with AOO 4.1.10 blocks useful functions
• The Windows installation file has missing properties and lacks a code signature
• Windows installation: Lost adapted texts after switch to NSIS 3.x
• Chart lost when saving in .ODS format

For a complete overview of all resolved issues, please see the list in Bugzilla.

Updated Dictionaries

• English (en-GB)

Versienummer	4.1.11
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, macOS, Windows 8, Windows 10, Windows 11
Website	Apache
Download	https://www.openoffice.org/download
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (7)

CVE-2021-40439 - Billion Laughs

lol

Even serieus voor de geïnteresseerden: het is een aanval op de XML parser (dat is het software component dat de OpenOffice bestanden inleest). Als men dus een document maakt waarbij je zegt dat een waarde genaamt "lol" de tekst "lol" bevat, en vervolgens maak je een nieuwe waarde genaamd "lol1", en je zegt dat die 10x lol moet zijn. De volgende die je maakt is "lol2", en daarvan zeg je dat het 10x lol1 moet zijn. Dan kom je dus in totaal al aan 100x de tekst "lol".

Dit doet men verder tot men aan lol9 zit, en vervolgens zeg je dat de inhoud van het document lol9 moet zijn. Zo kom je aan een totaal van 1 miljard (Billion in het Engels) keer "lol". Dat verklaart de naam van deze kwetsbaarheid.

De XML parser kon dus blijkbaar niet overweg met 1 miljard keer "lol"; wat ook redelijk normaal is, want dat is geen scenario wat je voor ogen hebt als je zo'n software component maakt.

Engelstalige informatie kan je hier vinden:
https://en.wikipedia.org/wiki/Billion_laughs_attack

Zo op het eerste gezicht is dit 'Billion laughs' probleem dus een 'out of memory' probleem. Daar moet elke tool en elke applicatie netjes mee om kunnen gaan. Als/zodra er ergens iets niet past dan moet dat netjes als fout gemeld worden en naar mogelijkheid afgehandeld. Crashen op een 'out of memory' zie ik niet als netjes afhandelen.

In een grijs verleden heb ik met postscript zitten stoeien aan fractals. Daarbij wordt op een vergelijkbare manier, maar dan recursief het geheugen getest.

Waarom zou je dit nog gebruiken in plaats van LibreOffice? Ik heb geen redenen kunnen vinden.

Ik ook niet. En dingen die @kodak al noemt maken het ook niet echt een te vertrouwen product meer. Apache doet best goede dingen, maar dit is niet hun beste werk. Ik snap niet waarom ze het niet gewoon EOL verklaren. En áls ze dan per se iemand op dit vlak willen laten werken, dan kunnen ze die persoon toch aan LibreOffice laten werken?

OpenOffice is inmiddels zwaar achterhaalde software. Het kan minder dan LibreOffice, is veel minder uitwisselbaar qua documenten met andere kantoorpakketten (zelfs met LibreOffice, ook al hebben ze dezelfde bestandsextensies), en het pakket neemt twee keer zoveel ruimte in na installatie omdat het nog vol zit met legacy code. Code die LibreOffice er allang uitgehaald heeft.

Blijkbaar heeft Apache nog redenen om het te onderhouden. Maar dat mag eigenlijk ook geen naam hebben, want behalve af en toe een veiligheidspatch wordt er niet heel veel meer aan ontwikkeld. Maar goed, ze blijven volhouden bij Apache (for whatever reason).

Mensen of bedrijven die nog steeds OpenOffice gebruiken, daarvan heb ik het vermoeden dat ze LibreOffice niet kennen. Of ze blijven vasthouden aan hetgeen ze gewend zijn. Omdat het voor hen werkt wellicht? Geen idee! Ik kan zelf ook geen redenen verzinnen waarom je vast zou blijven houden aan OpenOffice terwijl er LibreOffice is.

Formeel is een reden dat OpenOffice een andere licentie gebruikt. Vooral voor zakelijk gebruik kan dat in theorie beter uitpakken.

Praktisch zou het zomaar kunnen dat OpenOffice gebruikt wordt omdat het lekker stabiel is en niet zo vaak hoeft te worden bijgewerkt. Ook kan het minder dus zou er minder fout kunnen zijn. Aan de andere kant, LibreOffice heeft sinds de splitsing een aantal antieke zaken laten varen. Maar als je daar nog afhankelijk van bent...

En natuurlijk de naam: ooit heeft OpenOffice een aardige naam opgebouwd en daar drijft het nog steeds op.

Uiteindelijk zijn dit voor mij en heel veel anderen geen reden om bij OpenOffice te blijven hangen.

Dit is dus ook de update voor een beveiligingslek met code execution dat eerder in het nieuws kwam omdat het al 4 mei bij de ontwikkelaars bekend was. Het heeft dus ruim 5 maanden mogen duren voordat er een update voor is gekomen. Dat is ook nog pas 2 weken na de full disclosure.