Carga de Documentos Remotos sin Aviso en Apache OpenOffice (CVE-2026-90631)

Apache OpenOffice contiene una vulnerabilidad que permite que un documento remoto sea cargado de forma automática sin mostrar ningún tipo de advertencia o aviso previo al usuario. Esta condición de carga desatendida puede ser aprovechada para provocar la posible fuga de variables de entorno del sistema local hacia servidores externos controlados por un atacante.

Vector de Ataque:

Origen / Complejidad: red (remoto) | complejidad de ataque baja.

Requisitos: requiere que la víctima abra un documento malicioso especialmente diseñado (interacción del usuario requerida mediante la apertura del fichero, pero sin advertencias adicionales durante la carga de recursos vinculados).

Mecanismo: un atacante distribuye un archivo de OpenOffice manipulado que incluye referencias o enlaces a recursos remotos. Debido a la falta de avisos de seguridad en el procesamiento de estos componentes externos, la aplicación los carga de manera silenciosa al abrir el documento principal, exponiendo indirectamente información sensible del entorno del usuario (como variables de entorno) a través de peticiones de red salientes.

Impacto Estimado:

Confidencialidad: media — exposición potencial de variables de entorno locales y datos contextuales del usuario o del sistema operativo.

Integridad: ninguna — no permite alterar directamente los ficheros del sistema.

Disponibilidad: ninguna — no causa interrupción de servicios ni caídas de la aplicación.

Solución : actualizar Apache OpenOffice a la versión 4.1.17 o superior, la cual soluciona este comportamiento de carga no advertida.

Medidas de Mitigación / Contención Temporal: evitar abrir documentos de OpenOffice (como ODT, ODS, etc.) provenientes de fuentes desconocidas, no confiables o remitentes externos inesperados; deshabilitar o restringir la carga automática de vínculos externos y contenido de red en las opciones de configuración de la suite ofimática si la funcionalidad no es estrictamente necesaria.

https://nvd.nist.gov/vuln/detail/cve-2026-90631