🇰🇷 한글 설명
Excelize Go 라이브러리 2.3.1에서 2.11.0 버전 사이에서 암호화 해제 과정 중 구조 및 매개변수 검증이 미흡하여 발생합니다. 공격자가 조작한 암호화 정보를 포함한 악성 OLE 파일을 처리할 때, Go 런타임 패닉이 발생하여 호출 프로세스가 강제 종료될 수 있습니다.
💡 쉬운 설명
엑셀 파일을 읽는 프로그램에서 조작된 암호화 파일을 열려고 하면 프로그램이 갑자기 꺼져버리는 문제입니다. 공격자가 이 기능을 이용해 서비스나 프로그램을 강제로 중단시킬 수 있습니다.
🇺🇸 원문 (English)
Excelize is a Go language library for reading and writing Microsoft Excel spreadsheets. From 2.3.1 to 2.11.0, the decryption dispatch performs insufficient structural and parameter validation before standard and agile decryptors slice, index, allocate, and divide using attacker-controlled values. Decrypt passes attacker-controlled EncryptionInfo and EncryptedPackage data into standardDecrypt or agileDecrypt before validating the structures used by those routines. When a malformed OLE compound file with a version-valid EncryptionInfo stream is opened or passed to Decrypt, nine malformed-input classes reach unrecovered Go runtime panics instead of the documented error path, allowing an attacker to terminate the calling process. No fixed version is available as of this review.
📍 영향받는 시스템
Excelize library (Go language) versions 2.3.1 to 2.11.0
⚔️ 공격 벡터
조작된 EncryptionInfo 및 EncryptedPackage 데이터를 포함한 악성 OLE 파일을 통해 프로세스 종료 유도
🛡️ 대응 방법
현재 수정 버전이 없으므로, 신뢰할 수 없는 엑셀 파일 처리를 제한하거나 라이브러리 업데이트를 기다려야 함
🔧 검증 코드
출력된 결과에서 excelize의 버전이 2.3.1에서 2.11.0 사이인지 확인합니다.
go list -m all | grep excelize