Er is een kritieke kwetsbaarheid (CVE-2023-7101) geïdentificeerd in de Perl-module Spreadsheet::ParseExcel, die functies biedt voor het parseren van Excel-bestanden, waardoor willekeurige code kan worden uitgevoerd bij het verwerken van XLS- of XLSX-bestanden die speciaal opgemaakte regels voor getalopmaak bevatten. Het beveiligingslek wordt veroorzaakt door het gebruik van gegevens verkregen uit het bestand dat wordt verwerkt bij het construeren van de “eval”-aanroep. Het probleem is opgelost in de Spreadsheet::ParseExcel 0.66-update. Er is een prototype van de exploit. Kwetsbare code: if ( $format_str =~ /^\[([<>=][^\]]+)\](.*)$/ ) { $conditional = $1; $format_str = $2; } ... $section = eval "$number $conditional" ? 0: 1; Een voorbeeld van een exploit voor het uitvoeren van het whoami-commando: 1;system('whoami > /tmp/inject.txt')]123″/ >
De kwetsbaarheid werd door Barracuda Networks geïdentificeerd tijdens een analyse van een aanval om malware op Barracuda ESG-apparaten (Email Security Gateway) te plaatsen. De reden voor het compromitteren van het apparaat was een 0-day kwetsbaarheid (CVE-2023-7102) in de Spreadsheet::ParseExcel-module, die in Barracuda ESG wordt gebruikt om e-mailbijlagen in Excel-formaat te parseren. Om uw code uit te voeren op systemen die Barracuda ESG gebruiken, was het voldoende om een e-mail te sturen met een speciaal ontworpen e-mailbijlage.
Bron: opennet.ru