CISA发出警告:Chrome和Excel解析库存在被利用的漏洞
2024-1-5 11:4:24 Author: www.freebuf.com(查看原文) 阅读量:10 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Hackread网站消息,Chrome和Excel解析库存在被利用的漏洞。在发现漏洞之后,美国网络安全和基础设施安全局(CISA)立即向联邦机构发布了紧急通知,要求机构在1月23日前完成风险缓解工作,并遵循供应商的指南迅速解决这些漏洞。

目前,美国网络安全和基础设施安全局(CISA)已经将两个识别出来的重大漏洞添加到被利用漏洞(KEV)目录中。其中一个是最近修补的Google Chrome中的漏洞,另一个是影响开源Perl库“Spreadsheet::ParseExcel”的漏洞,该库被用于读取Excel文件中的信息。

具体漏洞如下:

  • CVE-2023-7024:Google Chromium WebRTC堆缓冲区溢出漏洞。
  • CVE-2023-7101:Spreadsheet::ParseExcel远程代码执行漏洞。

CVE-2023-7024:

CVE-2023-7024是2023年12月前发现的Google Chrome中WebRTC组件的一个严重漏洞,它允许攻击者通过特制的HTML页面利用堆缓冲区溢出,最终控制受害者的电脑。

Google在2023年12月已经修补了这个安全漏洞,对于那些已经更新到修补版本浏览器的用户来说,它不再构成威胁。为了保护浏览器和其他软件不受未来漏洞的侵害,建议用户将它们更新到最新版本。

CVE-2023-7101

CVE-2023-7101是一个影响Spreadsheet::ParseExcel的关键漏洞,而Spreadsheet::ParseExcel是用来解析Excel文件的Perl模块,它暴露了远程代码执行(RCE)的风险,允许攻击者通过特制的Excel文件控制易受攻击的系统。

该漏洞允许攻击者将恶意Excel文件上传到易受攻击的系统,也可以利用数字格式字符串在系统上执行任意代码,攻击者可能通过这些操作窃取敏感数据(密码、个人信息等)、安装恶意软件、扰乱系统操作,甚至完全控制受影响的系统。

目前,Spreadsheet::ParseExcel软件版本是0.65的用户可能会受到这一漏洞的影响。值得注意的是,该漏洞的影响范围扩展到了用Perl开发的各种应用程序和框架,因此也可能会影响整个系统。

为了解决这一漏洞,Metacpan已经发布了一个修补版本0.66,作为预防措施,强烈建议用户尽快更新到修补版本。在无法立即更新的情况下,建议用户采取缓解措施,例如限制文件上传或禁用与Spreadsheet::ParseExcel相关的功能。

Qualys威胁研究部门首席威胁情报分析师奥布雷·佩林表示,“CVE-2023-7101是一个Perl库的漏洞,它已经引起了广泛关注,这一点在网络和电子邮件安全公司Barracuda的设备中的使用可以看出。“

奥布雷指出,这一漏洞已被公开,勒索软件威胁行为者利用它来进行恶意操作的风险已经增加,建议企业彻底评估环境,检查是否有‘Spreadsheet::ParseExcel’实例需要更新或移除。

参考来源:CISA Warns of Exploited Vulnerabilities in Chrome and Excel Parsing Library (hackread.com)


文章来源: https://www.freebuf.com/news/388779.html
如有侵权请联系:admin#unsafe.sh