Excelize: Nil-Pointer-Dereferenzierung in GetSlicers

Zusammenfassung

Excelize, eine Go-Bibliothek zum Lesen und Schreiben von Microsoft-Excel-Dateien, dereferenziert in GetSlicers einen Nil-Pointer, wenn ein Arbeitsblatt ein extLst-Element, aber kein drawing-Element enthält. Ein Angreifer kann eine XLSX-Datei so gestalten, dass eine Anwendung beim Aufruf von GetSlicers abstürzt. Die dokumentierte Auswirkung beschränkt sich auf die Verfügbarkeit (Denial of Service). Voraussetzung ist eine Anwendung, die nicht vertrauenswürdige Tabellen mit dieser Funktion verarbeitet.

Betroffen

• Go-Modul github.com/xuri/excelize/v2, Versionen >= 2.9.0 bis 2.11.0

Behoben in

• Commit 8ffeb07ec9a350410f6922313f6b7e4f5cc79241 (PR #2434) ergänzt die fehlende Nil-Prüfung. Ein offizielles Release mit dem Fix wurde nicht bestätigt. Der CVE-Eintrag gibt an, dass zum Zeitpunkt der Prüfung keine korrigierte Version verfügbar ist.

Umgehung

• GetSlicers nicht auf nicht vertrauenswürdige Dateien aufrufen, wenn keine Slicer-Daten benötigt werden.
• GetSlicers-Aufrufe mit Panic-Behandlung (defer/recover) absichern, sofern die Anwendung dies unterstützt.
• Hochgeladene Tabellen in isolierten Prozessen verarbeiten, damit ein Absturz keine anderen Dienste beeinträchtigt.

Ausnutzung

• Öffentlicher Proof of Concept: Das GitHub-Advisory beschreibt eine Reproduktion mit einem leeren extLst-Element.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
• Nicht als aktiv ausgenutzt gelistet; EPSS ist niedrig.

Unsere Empfehlung

• Prüfen, ob eine Anwendung das excelize-Modul nutzt und GetSlicers auf hochgeladene oder externe Dateien aufruft.
• Auf einen Commit ab 8ffeb07 aktualisieren, solange kein Release verfügbar ist, und den Build testen.
• Verarbeitung von Tabellen isolieren und Abstürze oder Neustarts betroffener Dienste überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r7x5-4969-99p7 github.com
• Fix commit 8ffeb07 in qax-os/excelize github.com
• Pull request #2434 in qax-os/excelize github.com
• OSV entry GHSA-r7x5-4969-99p7 osv.dev
• Tenable CVE-2026-107213 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:25.