CISA警告Chrome和Excel解析庫中存在被利用的漏洞CVE-2023-7024、CVE-2023-7101

CISA敦促在出現兩個嚴重漏洞時迅速采取行動。網絡安全和基礎設施安全局(CISA)已向聯邦機構發出緊急通知，規定緩解工作的最后期限為1月23日。

網絡安全和基礎設施安全局(CISA)已識別出兩個重大漏洞，并將其添加到其已知的可利用漏洞(KEV)目錄中。這些漏洞涉及Google Chrome中最近修補的缺陷以及影響開源Perl庫“Spreadsheet::ParseExcel”的錯誤，該庫專為讀取Excel文件中的信息而設計。

具體漏洞如下：

CVE-2023-7024：Google Chromium WebRTC堆緩沖區溢出漏洞

CVE-2023-7101：Spreadsheet::ParseExcel遠程代碼執行漏洞

CVE-2023-7024：是Google Chrome的WebRTC組件中的一個嚴重漏洞，于2023年12月發現。它允許攻擊者通過特制的HTML頁面潛在地利用堆緩沖區溢出，最終獲得受害者計算機的控制權。

谷歌于2023年12月修補了該安全漏洞，對于將Chrome瀏覽器更新到修補版本的用戶來說，不再被視為威脅。但是，保持瀏覽器和其他軟件處于最新狀態以保護自己免受未來漏洞的影響非常重要。

CVE-2023-7101：是一個影響Spreadsheet::ParseExcel（用于解析Excel文件的Perl模塊）的嚴重漏洞。它暴露了遠程代碼執行(RCE)風險，允許攻擊者通過特制的Excel文件控制易受攻擊的系統。

該漏洞允許攻擊者將惡意Excel文件上傳到易受攻擊的系統。該漏洞還可以通過評估數字格式字符串來利用，從而導致在系統上執行任意代碼。這可能允許攻擊者竊取敏感數據（密碼、個人信息等）、安裝惡意軟件、破壞系統操作并完全控制受影響的系統。

使用依賴于Spreadsheet::ParseExcel版本0.65的軟件的用戶操作系統當前面臨此安全風險。此漏洞將影響范圍擴展到使用Perl開發的各種應用程序和框架，從而可能影響廣泛的系統。

Metacpan已發布修補版本0.66，以解決已識別的漏洞。作為預防措施，強烈建議用戶及時更新到此修補版本。如果無法立即更新，建議實施緩解措施，例如限制文件上傳或禁用與Spreadsheet::ParseExcel相關的功能。

CISA已向聯邦機構發出緊急通知，設定緩解措施的最后期限為1月23日。指示各機構遵循供應商指南，立即解決這些漏洞或停止使用受影響的產品。

為了深入了解CVE-2023-7101漏洞，我們聯系了Qualys威脅研究部門的首席威脅情報分析師Aubrey Perin先生，他告訴我們說：“CVE-2023-7101是一個Perl庫漏洞，已獲得網絡和電子郵件安全公司Barracuda在設備中的使用證明了它的吸引力。”

“建議企業徹底評估其環境中是否存在需要更新或刪除的 'Spreadsheet::ParseExcel' 實例，”Aubrey建議。“梭子魚的觀察表明，中國威脅行為者利用此漏洞部署惡意軟件。隨著該漏洞現已公開，勒索軟件威脅行為者利用該漏洞進行惡意工具的風險加大，”奧布里警告說。