BDU:2024-01575 (CVE-2024-23525)

Уязвимость библиотеки обработки XLSX-файлов Spreadsheet::ParseXLSX для языка программирования Perl, связанная с неверным ограничением XML-ссылок на внешние объекты, позволяющая нарушителю проводить XXE-атаки

Опубликовано: 2024-02-27

Описание

Уязвимость библиотеки обработки XLSX-файлов Spreadsheet::ParseXLSX для языка программирования Perl связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить XXE-атаки с помощью специально созданного XLSX-файла

Затрагиваемое ПО и версии

Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)Spreadsheet::ParseXLSX (до 0.30)

Способ устранения

Использование рекомендаций:

Для Spreadsheet::ParseXLSX:
https://github.com/MichaelDaum/spreadsheet-parsexlsx/commit/1d55f90caf433c7442e5be21a1849af2b5522ffe#diff-0702489aae2d242fa44a345ab28b021c884c51a87ba376b835f44e3474dc2385L1175-L1180

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-23525

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/MichaelDaum/spreadsheet-parsexlsx/commit/1d55f90caf433c7442e5be21a1849af2b5522ffe#diff-0702489aae2d242fa44a345ab28b021c884c51a87ba376b835f44e3474dc2385L1175-L1180 https://github.com/advisories/GHSA-cxjh-j6f8-vrmf https://gist.github.com/phvietan/d1c95a88ab6e17047b0248d6bf9eac4a https://github.com/MichaelDaum/spreadsheet-parsexlsx/issues/10 https://www.openwall.com/lists/oss-security/2024/01/18/4 https://metacpan.org/release/NUDDLEGG/Spreadsheet-ParseXLSX-0.30/changes https://security-tracker.debian.org/tracker/CVE-2024-23525 https://lists.debian.org/debian-lts-announce/2024/01/msg00018.html

Проверьте безопасность своего сайта и почты → Полная проверка домена