▌作者：Eduard Kovacs
▌翻译：360代码卫士团队
上周公布的FreeXL库更新修复了多个高危远程代码执行漏洞。这些漏洞是由思科Talos团队的波兰籍研究员Marcin Noga发现的。
FreeXL是一款基于C的开源库，能让用户从微软Excel (.xls) 表单中提取数据。多个Linux版本都可使用FreeXL包。
Noga注意到，FreeXL中跟二进制交换文件格式相关的read_biff_next_record和read_legacy_biff函数守基于堆的缓冲溢出漏洞有关。攻击者能让用户通过使用FreeXL库的应用打开一个特殊编制的Excel文件，从而利用这些漏洞。
思科在文章中指出，“发送一个恶意XLS文件的攻击者能利用这一点覆写大量内存，从而导致应用崩溃；或者通过覆写严重的控制流结构执行任意代码。”
漏洞CVE-2017-2913和CVE-2017-2924的CVSS评分是8.8，属于高危漏洞。思科已发布技术公告。9月7日，FreeXL开发人员发布版本1.0.4，从而修复了这些漏洞。
FreeXL漏洞虽并不常见但也并非前所未有。2015年3月份，一名研究人员发现多个漏洞已被用于任意代码执行或DoS攻击，方法就是让目标用户打开一个特殊编制的文件。
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士www.codesafe.cn”。
