Spreadsheet::ParseExcel Spreadsheet::ParseExcel のリモートコード実行の脆弱性（CVE-2023-7101）

何が起きた

Excel ファイルを読み込むための Perl のモジュール Spreadsheet::ParseExcel で、ファイルの中の数値の書式の文字列を、確かめないまま eval という仕組みで実行してしまう弱点が見つかりました。そのため、細工された Excel ファイルを読み込むと、攻撃者が選んだ任意のコードが実行されるおそれがあります。実際に悪用が確認されています。悪用には、細工されたファイルを利用者やシステムが読み込む必要があるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Spreadsheet::ParseExcel 0.65 を使っているプログラムやシステムが影響を受けます。CVE の記録に追加された CISA の情報では、0.41 から 0.65 までが影響を受けるとされています。Mandiant の勧告では、このモジュールを使う製品（Spreadsheet::ParseXLSX など）も影響を受けるとされています。

何をすればいい

CVE の記録にある対策に従い、Spreadsheet::ParseExcel を 0.66 以降に更新されているか確認します。修正が済むまでは、知らない相手からの Excel ファイルを読み込ませないようにします。公式の案内を確認し、自分のシステムでこのモジュールが使われている場所を確かめてください。

やることチェックリスト

• Spreadsheet::ParseExcelを0.66以降に更新する
• 使っている版が0.41から0.65か確認する
• 出所不明のExcelファイルは読み込まないようにする

用語メモ

Perl

ウェブのシステムや文字の処理などでよく使われるプログラミング言語です。

モジュール

プログラムに組み込んで使う、特定の機能をまとめた部品のことです。

eval

文字列として渡された内容を、プログラムとして実行する仕組みです。中身を確かめずに使うと危険です。