🇰🇷 한글 설명
Go 언어용 Excel 라이브러리인 Excelize의 특정 버전에서 피벗 테이블 필드 인덱스를 처리할 때 경계 검사를 수행하지 않는 취약점이 발견되었습니다. 공격자가 조작된 엑셀 파일을 제공하여 피벗 필드 개수 불일치나 범위를 벗어난 값을 입력하면 Go 슬라이스 경계 패닉이 발생하여 프로세스가 중단될 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 엑셀 파일을 열면 프로그램이 예상치 못한 오류를 일으키며 갑자기 종료될 수 있는 문제입니다. 이는 서비스가 멈추는 원인이 될 수 있습니다.
🇺🇸 원문 (English)
Excelize is a Go language library for reading and writing Microsoft Excel spreadsheets. From 2.8.1 to 2.11.0, separately parsed pivot-table field indices are used to index the pivot-cache field-name slice without bounds checks. extractPivotTableFields uses getPivotCacheFieldsName output while processing GetPivotTables and trusts the dataField fld attribute as an index. When a crafted workbook supplies a pivot-field count mismatch or an out-of-range dataField fld value before GetPivotTables is called, the unchecked index causes a Go slice-bounds panic that escapes the library, allowing an attacker to crash the process or request worker. No fixed version is available as of this review.
📍 영향받는 시스템
Excelize library versions 2.8.1 to 2.11.0
⚔️ 공격 벡터
조작된 피벗 테이블 필드 값이 포함된 Microsoft Excel 파일을 통해 공격
🛡️ 대응 방법
현재 수정 버전이 없으므로, 신뢰할 수 없는 파일의 처리를 제한하거나 라이브러리 업데이트를 기다려야 합니다.
🔧 검증 코드
출력된 결과에서 excelize의 버전을 확인하여 2.8.1에서 2.11.0 사이인지 확인합니다.
go list -m all | grep excelize