ゼロデイ攻撃を受けたExcel解析ライブラリにアップデート

オープンソースのライブラリ「Spreadsheet::ParseExcel」にゼロデイ脆弱性「CVE-2023-7101」が見つかった問題で、脆弱性を修正したアップデートがリリースされた。

同ライブラリは、Excelファイルの解析機能を提供するPerlベースのライブラリで「MetaCPAN」にて配布されている。

同ライブラリを実装するBarracuda Networks製のメールセキュリティアプライアンス「Barracuda Email Security Gateway（ESG）」に対してゼロデイ攻撃があり、原因として同脆弱性が明らかとなった。

開発者は2023年12月29日に「同0.66」をリリースし、同脆弱性に対応した。ただし、同ライブラリには、メモリを大量消費し、サービス拒否に陥る別の脆弱性が引き続き残存するとの指摘も出ており、注意が必要となる。

（Security NEXT - 2024/01/11 ）ツイート