Formula Injection

攻撃者はスプレッドシートに書き込まれたデータを制御できる可能性があるため、特定のスプレッドシート プロセッサーでファイルを開くユーザーを対象にすることが可能となります。

Apache OpenOffice Calc や Microsoft Office Excel などの一般的なスプレッドシート プロセッサーは、強力な式演算をサポートしているため、スプレッドシートを制御している攻撃者は、基盤となるシステムで任意のコマンドを実行したり、スプレッドシートの機密情報を漏洩させたりできる可能性があります。

たとえば、攻撃者は CSV フィールドの一部として次のペイロードを挿入することができます。=cmd|'/C calc.exe'!Z0。スプレッドシートを開くユーザーがドキュメントの生成元を信頼している場合、このユーザーはスプレッドシート プロセッサーに表示されるセキュリティに関するすべてのプロンプトを受け入れて、自分のシステムでペイロードを実行できる (この例では Windows の電卓を開くことができる) 可能性があります。

例: 次の例は、サニタイズされていないユーザー制御データを含む CSV レスポンスを生成する ASP.NET コントローラーを示しています。

        public void Service()
        {
             string name = HttpContext.Request["name"];

             string data = GenerateCSVFor(name);
             HttpContext.Response.Clear();
             HttpContext.Response.Buffer = true;
             HttpContext.Response.AddHeader("content-disposition", "attachment;filename=file.csv");
             HttpContext.Response.Charset = "";
             HttpContext.Response.ContentType = "application/csv";
             HttpContext.Response.Output.Write(tainted);
             HttpContext.Response.Flush();
             HttpContext.Response.End();
        }

攻撃者はスプレッドシートに書き込まれたデータを制御できる可能性があるため、特定のスプレッドシート プロセッサーでファイルを開くユーザーを対象にすることが可能となります。

Apache OpenOffice Calc や Microsoft Office Excel などの一般的なスプレッドシート プロセッサーは、強力な式演算をサポートしているため、スプレッドシートを制御している攻撃者は、基盤となるシステムで任意のコマンドを実行したり、スプレッドシートの機密情報を漏洩させたりできる可能性があります。

たとえば、攻撃者は CSV フィールドの一部として次のペイロードを挿入することができます。=cmd|'/C calc.exe'!Z0。スプレッドシートを開くユーザーがドキュメントの生成元を信頼している場合、このユーザーはスプレッドシート プロセッサーに表示されるセキュリティに関するすべてのプロンプトを受け入れて、自分のシステムでペイロードを実行できる (この例では Windows の電卓を開くことができる) 可能性があります。

例: 次の例は、サニタイズされていないユーザー制御データを使用して CSV ファイルに書き込みを行っています。

    func someHandler(w http.ResponseWriter, r *http.Request){
        r.parseForm()
        foo := r.FormValue("foo")
        ...
        w := csv.NewWriter(file)
        w.Write(foo)
    }

攻撃者はスプレッドシートに書き込まれたデータを制御できる可能性があるため、特定のスプレッドシート プロセッサーでファイルを開くユーザーを対象にすることが可能となります。

Apache OpenOffice Calc や Microsoft Office Excel などの一般的なスプレッドシート プロセッサーは、強力な式演算をサポートしているため、スプレッドシートを制御している攻撃者は、基盤となるシステムで任意のコマンドを実行したり、スプレッドシートの機密情報を漏洩させたりできる可能性があります。

たとえば、攻撃者は CSV フィールドの一部として次のペイロードを挿入することができます。=cmd|'/C calc.exe'!Z0。スプレッドシートを開くユーザーがドキュメントの生成元を信頼している場合、このユーザーはスプレッドシート プロセッサーに表示されるセキュリティに関するすべてのプロンプトを受け入れて、自分のシステムでペイロードを実行できる (この例では Windows の電卓を開くことができる) 可能性があります。

例: 次の例は、サニタイズされていないユーザー制御データを含む CSV レスポンスを生成する Spring コントローラーを示しています。

    @RequestMapping(value = "/api/service.csv")
    fun service(@RequestParam("name") name: String): ResponseEntity<String> {
        val responseHeaders = HttpHeaders()
        responseHeaders.add("Content-Type", "application/csv; charset=utf-8")
        responseHeaders.add("Content-Disposition", "attachment;filename=file.csv")
        val data: String = generateCSVFor(name)
        return ResponseEntity(data, responseHeaders, HttpStatus.OK)
    }