In het Perl-module Spreadsheet::ParseExcel, dat functies biedt voor het parseren van Excel-bestanden, is een kritieke kwetsbaarheid (CVE-2023-7101) aangetroffen die willekeurige code kan uitvoeren bij het verwerken van XLS- of XLSX-bestanden met speciaal opgestelde getalopmaakregels. De kwetsbaarheid ontstaat door het gebruik van gegevens uit het verwerkte bestand bij het aanroepen van 'eval'. Het probleem is verholpen in de update Spreadsheet::ParseExcel 0.66. Een exploit-prototype is beschikbaar. Kwetsbare code: if ( $format_str =~ /^(\[(<>=][^\]]+)\](.*)$) { $conditional = $1; $format_str = $2; } ā¦ $section = eval "$number $conditional" ? 0 : 1; Voorbeeld van een exploit voor het uitvoeren van het commando whoami: >123;system('whoami > /tmp/inject.txt')]123"/>
De kwetsbaarheid werd ontdekt door Barracuda Networks tijdens het analyseren van een aanval op het plaatsen van malware op Barracuda ESG (Email Security Gateway) apparaten. De oorzaak van de compromittering van de apparaten was een 0-day kwetsbaarheid (CVE-2023-7102) in het module Spreadsheet::ParseExcel, dat in Barracuda ESG wordt gebruikt voor het parseren van e-mailbijlagen in Excel-formaat. Het was voldoende om een e-mail te verzenden met een speciaal opgemaakte e-mailbijlage om code uit te voeren op systemen die Barracuda ESG gebruiken.
Bron: opennet.ru
