Se ha detectado un problema de seguridad en las versiones 3.3 de OpenOffice.org y en las versiones de prueba Apache OpenOffice 3.4 beta. Versiones anteriores también pueden estar afectadas.

El problema de seguridad es el siguiente:

An XML External Entity (XXE) attack is possible in the above versions of OpenOffice.org.  This vulnerability exploits the way in which external entities are processed in certain XML components of ODF documents.  By crafting an external entity to refer to other local file system resources, an attacker would be able to inject contents of other locally- accessible files into the ODF document, without the user's knowledge or permission.  Data leakage then becomes possible when that document is later distributed to other parties.

O en lenguaje de andar por casa, más o menos, que un atacante podría inyectar el contenido de otros archivos locales accesibles a  documentos ODF sin conocimiento o permiso del usuario.

Se ha publicado un parche que podeis descargar desde este enlace:

Parche para usuarios de Windows Parche para usuarios de MacOS

Al hacer clic sobre los enlaces debería abrirse una página similar a la siguiente, en donde hemos añadido dos recuadros en rojo y uno en verde. Tras hacer clic sobre alguno de los enlaces remarcados en rojo, debería descargarse el parche. Si no funcionan los enlaces remarcados en rojo, probad en los enlaces remarcados en verde.

El parche consiste en un zip comprimido que contiene 4 archivos.

• Los archivos de texto plano LICENSE y NOTICE, con información sobre la licencia del parche.
• El archivo unordfmi.dll.
• El archivo README.pdf, que contiene instrucciones en inglés de como aplicar el parche. Resumiendo, se ha de copiar el fichero unordfmi.dll que contiene el zip en la carpeta donde reside el programa OpenOffice, habitualmente en:
  • C:\Archivos de programa\OpenOffice.org 3\program para los usuarios de Windows XP y anteriores, o
  • C:\Program Files\OpenOffice.org 3\program para los usuarios de Windows Vista y posteriores.
    Deberás tener permiso de administrador para copiar el archivo a la carpeta.

La nota oficial del parche la puedes encontrar en este enlace: openoffice.org CVE-2012-0037