Hackread網(wǎng)站消息，Chrome和Excel解析庫存在被利用的漏洞。在發(fā)現(xiàn)漏洞之后，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）立即向聯(lián)邦機(jī)構(gòu)發(fā)布了緊急通知，要求機(jī)構(gòu)在1月23日前完成風(fēng)險緩解工作，并遵循供應(yīng)商的指南迅速解決這些漏洞。

目前，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）已經(jīng)將兩個識別出來的重大漏洞添加到被利用漏洞（KEV）目錄中。其中一個是最近修補(bǔ)的Google Chrome中的漏洞，另一個是影響開源Perl庫“Spreadsheet::ParseExcel”的漏洞，該庫被用于讀取Excel文件中的信息。

具體漏洞如下：

• CVE-2023-7024：Google Chromium WebRTC堆緩沖區(qū)溢出漏洞。
• CVE-2023-7101：Spreadsheet::ParseExcel遠(yuǎn)程代碼執(zhí)行漏洞。

CVE-2023-7024：

CVE-2023-7024是2023年12月前發(fā)現(xiàn)的Google Chrome中WebRTC組件的一個嚴(yán)重漏洞，它允許攻擊者通過特制的HTML頁面利用堆緩沖區(qū)溢出，最終控制受害者的電腦。

Google在2023年12月已經(jīng)修補(bǔ)了這個安全漏洞，對于那些已經(jīng)更新到修補(bǔ)版本瀏覽器的用戶來說，它不再構(gòu)成威脅。為了保護(hù)瀏覽器和其他軟件不受未來漏洞的侵害，建議用戶將它們更新到最新版本。

CVE-2023-7101

CVE-2023-7101是一個影響Spreadsheet::ParseExcel的關(guān)鍵漏洞，而Spreadsheet::ParseExcel是用來解析Excel文件的Perl模塊，它暴露了遠(yuǎn)程代碼執(zhí)行（RCE）的風(fēng)險，允許攻擊者通過特制的Excel文件控制易受攻擊的系統(tǒng)。

該漏洞允許攻擊者將惡意Excel文件上傳到易受攻擊的系統(tǒng)，也可以利用數(shù)字格式字符串在系統(tǒng)上執(zhí)行任意代碼，攻擊者可能通過這些操作竊取敏感數(shù)據(jù)（密碼、個人信息等）、安裝惡意軟件、擾亂系統(tǒng)操作，甚至完全控制受影響的系統(tǒng)。

目前，Spreadsheet::ParseExcel軟件版本是0.65的用戶可能會受到這一漏洞的影響。值得注意的是，該漏洞的影響范圍擴(kuò)展到了用Perl開發(fā)的各種應(yīng)用程序和框架，因此也可能會影響整個系統(tǒng)。

為了解決這一漏洞，Metacpan已經(jīng)發(fā)布了一個修補(bǔ)版本0.66，作為預(yù)防措施，強(qiáng)烈建議用戶盡快更新到修補(bǔ)版本。在無法立即更新的情況下，建議用戶采取緩解措施，例如限制文件上傳或禁用與Spreadsheet::ParseExcel相關(guān)的功能。

Qualys威脅研究部門首席威脅情報分析師奧布雷·佩林表示，“CVE-2023-7101是一個Perl庫的漏洞，它已經(jīng)引起了廣泛關(guān)注，這一點(diǎn)在網(wǎng)絡(luò)和電子郵件安全公司Barracuda的設(shè)備中的使用可以看出?！?/p>

奧布雷指出，這一漏洞已被公開，勒索軟件威脅行為者利用它來進(jìn)行惡意操作的風(fēng)險已經(jīng)增加，建議企業(yè)徹底評估環(huán)境，檢查是否有‘Spreadsheet::ParseExcel’實例需要更新或移除。