CISA：注意 Chrome 和 Excel 解析库中已遭利用的开源漏洞

最新推荐文章于 2024-08-21 09:43:13 发布

奇安信代码卫士

最新推荐文章于 2024-08-21 09:43:13 发布

阅读量110

点赞数

文章标签： chrome excel 前端

原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247518582&idx=2&sn=3e7fcf93d7c3d8fa193fcb72ed6c2347&chksm=eb2235981eb4eba6a59f9f11da1943dbebed4e2e36c4f5955ae3628c370550664e29fc53c4df&scene=126&sessionid=0

版权

美国CISA新增CVE-2023-7024和CVE-2023-7101漏洞至列表，其中Chrome的WebRTC堆缓冲溢出和Spreadsheet::ParseExcel的远程代码执行漏洞被关注。Chrome已紧急修复0day漏洞，而Spreadsheet::ParseExcel库的更新也已发布。

摘要由CSDN通过智能技术生成

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

美国网络安全和基础设施安全局 (CISA) 在“已知已遭利用漏洞”分类中新增两个漏洞，其中一个是谷歌 Chrome 最近修复的一个漏洞，另外一个是影响用于读取 Excel 文件 Spreadsheet::ParseExcel 中信息的开源库 Perl 中的漏洞。这两个漏洞的编号是CVE-2023-7024和CVE-2023-7101。

Spreadsheet::ParseExcel RCE

CISA 必修清单中新增的第一个漏洞是CVE-2023-7101，它是一个远程代码执行漏洞，影响 Spreadsheet::ParseExcel 库 0.65及更老版本。CISA提到，“Spreadsheet::ParseExcel 因将文件中的未验证输入传递到字符串类型 ‘eval’ 而导致包含一个远程代码执行漏洞。具体而言，该漏洞是因为 Excel 解析逻辑中的整形格式字符串的评估造成的。”

Spreadsheet::ParseExcel是一种通用库，允许在 Excel 文件上执行数据导入/导出操作、运行分析和自动化脚本。该产品也为在基于 Perl 的 web 应用上处理 Excel 文件提供了兼容性。

Barracuda ESG 产品就使用了该开源库，攻击者利用其中包含的CVE-2023-7101传播多款恶意软件。2023年12月20日，该厂商发布安全更新，推出了 Spreadsheet::ParseExcel 新版本 0.66，修复了该漏洞。