Excelize: Denial of Service durch ungeprüften Pivot-Cache-Feldindex

Zusammenfassung

Excelize, eine Go-Bibliothek zum Lesen und Schreiben von Excel-Dateien, prüft Pivot-Tabellen-Feldindizes nicht, bevor sie zur Indizierung der Pivot-Cache-Feldliste verwendet werden. Eine präparierte .xlsx-Arbeitsmappe mit einer Abweichung in der Feldanzahl oder einem ausserhalb des gültigen Bereichs liegenden dataField-fld-Wert löst beim Aufruf von GetPivotTables einen nicht abfangbaren Slice-Bounds-Panic in Go aus. Der Panic beendet den Host-Prozess oder Worker, sodass ein Angreifer mit einer einzigen manipulierten Datei einen Denial of Service auslösen kann, ohne dass eine Authentifizierung nötig ist. Betroffen ist nur die Verfügbarkeit.

Betroffen

• Excelize (Go-Modul github.com/xuri/excelize/v2) Versionen 2.8.1 bis 2.11.0
• Anwendungen, die nicht vertrauenswürdige .xlsx-Dateien mit Pivot-Tabellen öffnen und File.GetPivotTables aufrufen

Behoben in

• Zum Zeitpunkt dieser Prüfung ist kein getaggtes Release mit dem Fix bekannt.
• Der Fix ist im Upstream-Commit 6258dcebc4e2a2aed985c38a08098dfd908521d1 (2026-10-03) im Master-Branch enthalten.
• Das Advisory nennt keine gepatchte Version, daher ist der Commit bis zur Veröffentlichung eines Releases als Entwicklungsstand zu behandeln.

Umgehung

• Nicht vertrauenswürdige .xlsx-Dateien nicht an GetPivotTables übergeben, bis die Bibliothek aktualisiert ist.
• Feldanzahl und dataField-Indizes von Pivot-Tabellen prüfen, bevor die Arbeitsmappe an Excelize übergeben wird.
• Die Verarbeitung nicht vertrauenswürdiger Dateien in einem separaten Prozess oder Container ausführen, der bei einem Fehler neu gestartet wird. So bleibt die Auswirkung auf diesen Worker beschränkt.
• Nicht auf recover() zum Abfangen dieses Panics vertrauen, da das Advisory ihn als nicht abfangbar beschreibt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Der Advisory-Autor hat den Absturz mit fehlerhaften Arbeitsmappen reproduziert. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• Der Katalog der bekanntermassen ausgenutzten Schwachstellen (KEV) wurde im Rahmen dieser Prüfung nicht abgeglichen.

Unsere Empfehlung

• Anwendungen ermitteln, die github.com/xuri/excelize/v2 im Bereich 2.8.1 bis 2.11.0 verwenden, z. B. anhand von SBOMs oder Abhängigkeitslisten.
• Dienste priorisieren, die Tabellen von Kunden, Lieferanten oder anderen externen Parteien entgegennehmen.
• Die Verarbeitung nicht vertrauenswürdiger Dateien einschränken oder isolieren, bis ein fixes Release verfügbar ist, und den Upstream-Fix-Commit vor dem Einsatz testen.
• Automatischen Neustart der Worker-Prozesse konfigurieren und Logs auf wiederholte Panics überwachen.
• Das GitHub-Advisory GHSA-mx22-3794-2vpv auf ein getaggtes Release prüfen und nach dessen Veröffentlichung aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-mx22-3794-2vpv github.com
• Fix commit 6258dceb github.com
• Pull request #2435 github.com
• OSV: CVE-2026-107211 osv.dev
• OSV: GHSA-mx22-3794-2vpv osv.dev
• GitHub Advisory Database: GHSA-mx22-3794-2vpv github.com
• GitLab Advisory: CVE-2026-107211 advisories.gitlab.com
• VulDB: CVE-2026-107211 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:24.