CVE-2023-7101
Yüksek CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 7.8
- EPSS
- 19.1%
- CWE
- CWE-95
- KEV Durumu
- Evet
Yayım tarihi: 24 Aralık 2023 · CISA KEV son iyileştirme tarihi: 23 Ocak 2024
Etkilenen: jmcnamara spreadsheet\
Spreadsheet::ParseExcel sürüm 0.65, Excel dosyalarını ayrıştırmak için kullanılan bir Perl modülüdür. Spreadsheet::ParseExcel, bir dosyadan doğrulanmamış girişi bir dize tipi "eval"e aktarması nedeniyle keyfi kod çalıştırma (ACE) zafiyetiyle etkilenmektedir. Özellikle sorun, Excel ayrıştırma mantığında Sayı biçimi dizelerinin (printf-stil biçim dizileriyle karıştırılmamalıdır) değerlendirilmesinden kaynaklanmaktadır.
Orijinal açıklama (İngilizce)
Spreadsheet::ParseExcel version 0.65 is a Perl module used for parsing Excel files. Spreadsheet::ParseExcel is vulnerable to an arbitrary code execution (ACE) vulnerability due to passing unvalidated input from a file into a string-type “eval”. Specifically, the issue stems from the evaluation of Number format strings (not to be confused with printf-style format strings) within the Excel parsing logic.
Referanslar
- http://www.openwall.com/lists/oss-security/2023/12/29/4
- https://github.com/jmcnamara/spreadsheet-parseexcel/blob/c7298592e102a375d43150cd002feed806557c15/lib/Spreadsheet/ParseExcel/Utility.pm#L171
- https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2023/MNDT-2023-0019.md
- https://https://github.com/haile01/perl_spreadsheet_excel_rce_poc
- https://https://github.com/jmcnamara/spreadsheet-parseexcel/commit/bd3159277e745468e2c553417b35d5d7dc7405bc
- https://https://metacpan.org/dist/Spreadsheet-ParseExcel
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.