BDU:2024-00130 (CVE-2023-7101)

Уязвимость библиотеки для работы с XLS-файлами Spreadsheet::ParseExcel, связанная с непринятием мер по нейтрализации инструкций в динамически исполняемом коде, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-01-11

Описание

Уязвимость библиотеки для работы с XLS-файлами Spreadsheet::ParseExcel связана с непринятием мер по нейтрализации инструкций в динамически исполняемом коде. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)Fedora (38)Fedora (39)Spreadsheet::ParseExcel (до 0.65 включительно)

Способ устранения

Использование рекомендаций:
Для Spreadsheet::ParseExcel:
https://github.com/jmcnamara/spreadsheet-parseexcel/releases/tag/CPAN_0.66
https://metacpan.org/dist/Spreadsheet-ParseExcel

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IFEHKULQRVXHIV7XXK2RGD4VQN6Y4CV5/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/M2FIWDHRYTAAQLGM6AFOZVM7AFZ4H2ZR/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-7101

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2023/12/29/4 https://github.com/jmcnamara/spreadsheet-parseexcel/blob/c7298592e102a375d43150cd002feed806557c15/lib/Spreadsheet/ParseExcel/Utility.pm#L171 https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2023/MNDT-2023-0019.md https://https://github.com/haile01/perl_spreadsheet_excel_rce_poc https://https://github.com/jmcnamara/spreadsheet-parseexcel/commit/bd3159277e745468e2c553417b35d5d7dc7405bc https://https://metacpan.org/dist/Spreadsheet-ParseExcel https://https://www.cve.org/CVERecord?id=CVE-2023-7101 https://lists.debian.org/debian-lts-announce/2023/12/msg00025.html

Проверьте безопасность своего сайта и почты → Полная проверка домена