Spreadsheet::ParseExcel · Spreadsheet::ParseExcel
CVE-2023-7101
Arbitrary Code Execution (ACE) Vulnerability
Что это
Spreadsheet::ParseExcel version 0.65 is a Perl module used for parsing Excel files. Spreadsheet::ParseExcel is vulnerable to an arbitrary code execution (ACE) vulnerability due to passing unvalidated input from a file into a string-type “eval”. Specifically, the issue stems from the evaluation of Number format strings (not to be confused with printf-style format strings) within the Excel parsing logic.
CISA: Spreadsheet::ParseExcel contains a remote code execution vulnerability due to passing unvalidated input from a file into a string-type “eval”. Specifically, the issue stems from the evaluation of Number format strings within the Excel parsing logic.
Что делать
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Срок для федеральных ведомств США: 23 января 2024 г.
- Добавлена в список CISA
- 2 января 2024 г.
- Опубликована
- 24 декабря 2023 г.
- Серьёзность
- Высокий 7,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 19% в верхних 2,7% всех известных уязвимостей
- Тип слабости
- CWE-95
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (11)
- https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2023/MNDT-2023-0019.md
- https://https://www.cve.org/CVERecord?id=CVE-2023-7101
- https://https://metacpan.org/dist/Spreadsheet-ParseExcel
- https://https://github.com/haile01/perl_spreadsheet_excel_rce_poc
- https://github.com/jmcnamara/spreadsheet-parseexcel/blob/c7298592e102a375d43150cd002feed806557c15/lib/Spreads…
- http://www.openwall.com/lists/oss-security/2023/12/29/4
- https://lists.debian.org/debian-lts-announce/2023/12/msg00025.html
- https://https://github.com/jmcnamara/spreadsheet-parseexcel/commit/bd3159277e745468e2c553417b35d5d7dc7405bc
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IFEHKULQRVXHIV…
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/M2FIWDHRYTAAQL…
- https://security.metacpan.org/2024/02/10/vulnerable-spreadsheet-parsing-modules.html
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.