PT-2024-1830 · Xml::Twig+3 · Xml::Twig+3

An Pham · Publicado 2024-01-17 · Atualizado 2024-06-15 · CVE-2024-23525

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Spreadsheet::ParseXLSX anteriores à 0.30

Descrição

O problema está relacionado à restrição incorreta de links XML para objetos externos, permitindo que um invasor realize ataques XXE usando um arquivo XLSX especialmente criado. Isso ocorre porque o pacote Spreadsheet::ParseXLSX não utiliza a opção no xxe do XML::Twig.

Recomendações

Para versões anteriores à 0.30, atualize para a versão 0.30 ou posterior para resolver o problema. Como solução temporária, considere habilitar a opção no xxe do XML::Twig para prevenir ataques XXE.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

BDU:2024-01575

CVE-2024-23525

DLA-3723-1

OPENSUSE-SU-2024:13760-1

USN-6769-1

Produtos afetados

Linuxmint

Spreadsheet::Parsexlsx

Ubuntu

Xml::Twig

Referências · 32

• 🔥 https://github.com/haile01/perl_spreadsheet_excel_rce_poc/blob/main/parse_xlsx_bomb.md · Exploit
• 🔥 https://gist.github.com/phvietan/d1c95a88ab6e17047b0248d6bf9eac4a · Exploit
• 🔥 http://openwall.com/lists/oss-security/2024/01/18/4 · Exploit
• https://github.com/MichaelDaum/spreadsheet-parsexlsx/issues/10 · Nota
• https://github.com/MichaelDaum/spreadsheet-parsexlsx/commit/1d55f90caf433c7442e5be21a1849af2b5522ffe#diff-0702489aae2d242fa44a345ab28b021c884c51a87ba376b835f44e3474dc2385L1175-L1180 · Nota
• https://github.com/MichaelDaum/spreadsheet-parsexlsx/commit/1d55f90caf433c7442e5be21a1849af2b5522ffe · Nota
• https://twitter.com/oss_security/status/1747995489012699645 · Publicação no Twitter
• https://security.metacpan.org/2024/02/10/vulnerable-spreadsheet-parsing-modules.html · Nota
• https://openwall.com/lists/oss-security/2024/01/18/4 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-23525 · Nota de Segurança
• https://t.me/cvenotify/67828 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1747795361735819317 · Publicação no Twitter
• https://osv.dev/vulnerability/DLA-3723-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-6769-1 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2024/01/msg00018.html · Nota