Perl moodulis Spreadsheet::ParseExcel, mis pakub funktsioone Exceli failide analüüsimiseks, on tuvastatud kriitiline haavatavus (CVE-2023-7101), mis võimaldab väljastada suvalist koodi XLS või XLSX failide töötlemisel, mis sisaldavad spetsiaalselt vormindatud numbrite vormindamise reegleid. Haavatavus tuleneb andmete „eval” funktsiooni ülesehitusest, mis saadakse töödeldud failist. Probleem on lahendatud Spreadsheet::ParseExcel 0.66 värskenduses. Eksploitatsiooni prototüüp on olemas. Haavatav kood: if ( $format_str =~ /^(\[(<>=][^\]]+)\](.*)$/) { $conditional = $1; $format_str = $2; } … $section = eval "$number $conditional" ? 0 : 1; Näide eksploiteerimise jaoks, et käivitada käsk whoami: 123;system(‘whoami > /tmp/inject.txt’)]123"/>
Haavatavus avastati ettevõtte Barracuda Networks poolt analüüsi käigus, mis käsitleb pahavara paigaldamise rünnakut Barracuda ESG (Email Security Gateway) seadmetes. Seadmete kompromiteerimise põhjuseks oli 0-päevane haavatavus (CVE-2023-7102) Spreadsheet::ParseExcel moodulis, mida kasutatakse Barracuda ESG-s Exceli formaadis meilikinnituste analüüsimiseks. Koodi teostamiseks süsteemides, mis kasutavad Barracuda ESG-d, oli piisav, kui saata spetsiaalselt vormindatud meilikinnitusega e-kiri.
Allikas: opennet.ru
