CVE-2024-53924

• Descrizione: Pycel fino alla versione 1.0b30, quando opera su un foglio di calcolo non affidabile, consente l'esecuzione di codice tramite una formula appositamente creata in una cella, come ad esempio una che inizia con la sottostringa =IF(A1=200, eval("__import__('os').system(.
• Autore: Adham Elmosalamy (@aelmo)
• Data di divulgazione: 23 novembre 2024
• Link: https://nvd.nist.gov/vuln/detail/CVE-2024-53924

Riepilogo

Pycel, una libreria Python per lavorare con fogli di lavoro Excel che include la valutazione simbolica sicura delle formule Excel, soffre di una vulnerabilità di esecuzione del codice in cui le funzioni native di Python, altrimenti bloccate, possono essere eseguite utilizzando formule Excel appositamente create. Ciò consente a un attaccante di fornire un documento dannoso che porta all'esecuzione di codice quando viene valutato da Pycel.

Utilizzando lo stesso script demo nella documentazione di Pycel, l'analisi di un documento Excel dovrebbe valutare le funzioni Excel e restituire un errore come "Function EVAL is not implemented. EVAL is not a known Excel function" e rifiutarsi di eseguire.

Tuttavia, sono riuscito ad aggirare questo limite utilizzando una formula Excel dannosa che porta inaspettatamente all'esecuzione di codice arbitrario quando viene eseguita in Pycel.

Avviso

Pycel è attualmente insicuro e non può essere considerato affidabile per la valutazione o l'elaborazione di fogli di lavoro provenienti da fonti non affidabili. La mancata osservanza di questa precauzione può portare a risultati devastanti sotto forma di esecuzione di codice.