BDU:2024-01575

Опубликовано: 17 янв. 2024

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость библиотеки обработки XLSX-файлов Spreadsheet::ParseXLSX для языка программирования Perl связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить XXE-атаки с помощью специально созданного XLSX-файла

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Debian GNU/Linux

Spreadsheet::ParseXLSX

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

до 0.30 (Spreadsheet::ParseXLSX)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Spreadsheet::ParseXLSX:

https://github.com/MichaelDaum/spreadsheet-parsexlsx/commit/1d55f90caf433c7442e5be21a1849af2b5522ffe#diff-0702489aae2d242fa44a345ab28b021c884c51a87ba376b835f44e3474dc2385L1175-L1180

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-23525

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-23525
CVE

EPSS

Процентиль: 52%

0.0029

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2024-23525

CVSS3: 6.5

ubuntu

около 2 лет назад

The Spreadsheet::ParseXLSX package before 0.30 for Perl allows XXE attacks because it neglects to use the no_xxe option of XML::Twig.

CVE-2024-23525

CVSS3: 6.5

nvd

около 2 лет назад

The Spreadsheet::ParseXLSX package before 0.30 for Perl allows XXE attacks because it neglects to use the no_xxe option of XML::Twig.

CVE-2024-23525

CVSS3: 6.5

debian

около 2 лет назад

The Spreadsheet::ParseXLSX package before 0.30 for Perl allows XXE att ...

GHSA-cxjh-j6f8-vrmf

CVSS3: 6.5

github

около 2 лет назад

The Spreadsheet::ParseXLSX package before 0.30 for Perl allows XXE attacks because it neglects to use the no_xxe option of XML::Twig.

EPSS

Процентиль: 52%

0.0029

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2