lmx-071028/cve-2024-30350-research-notesForschungsnotizen zu CVE-2024-30350, einem Out-of-Bounds-Read in der Annotationsverarbeitung des Foxit PDF Reader, mit Triage, Offenlegung und defensiven Empfehlungen.
CVE-2024-30350 ist eine Out-of-Bounds-Read-Information-Disclosure-Schwachstelle in Foxit PDF Reader. Das Problem wurde von der Trend Micro Zero Day Initiative als ZDI-24-333 veröffentlicht und vor der Offenlegung als ZDI-CAN-22708 verfolgt.
Die öffentliche Advisory beschreibt den betroffenen Bereich als die Behandlung von Annotation-Objekten durch Foxit PDF Reader. Ein präpariertes PDF kann die Anwendung dazu bringen, über das Ende eines zugewiesenen Puffers hinaus zu lesen. Die Ausnutzung erfordert Benutzerinteraktion, wie das Öffnen einer bösartigen PDF-Datei oder das Besuchen einer Seite, die eine solche bereitstellt. Die unmittelbare Auswirkung ist die Offenlegung sensibler Informationen, und die Advisory merkt an, dass der Zustand nützlich sein kann, wenn er mit anderen Schwachstellen verkettet wird.
Dieses Repository dokumentiert die Schwachstelle, den Research-Workflow, den Triage-Prozess und die Disclosure-Notizen. Es enthält absichtlich keinen weaponisierten Proof of Concept.
| Feld | Wert |
|---|
| CVE | CVE-2024-30350 |
| ZDI advisory | ZDI-24-333 |
| ZDI case | ZDI-CAN-22708 |
| Produkt | Foxit PDF Reader |
| Hersteller | Foxit |
| Komponente | Annotation object handling |
| Schwäche | Out-of-bounds read |
| CWE | CWE-125 |
| Auswirkung | Information disclosure |
| CVSS | 3.3 |
| Vektor | CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N |
| Datum des Herstellerberichts | 2023-12-20 |
| Datum der öffentlichen Advisory | 2024-03-28 |
| Datum der Advisory-Aktualisierung | 2024-07-01 |
| Behoben durch | Foxit PDF Reader 2024.1 und Foxit PDF Editor 2024.1 Sicherheitsupdates |
Laut Foxits Sicherheitsbulletin vom 5. März 2024 umfassten die betroffenen Windows-Versionen Foxit PDF Reader 2023.3.0.23028 und früher sowie mehrere Foxit PDF Editor-Release-Zweige bis zu den im Bulletin aufgeführten Versionen.
PDF-Annotationen werden als Dictionaries dargestellt, die über das /Annots-Array der Seite an Seiten angehängt werden. Ein Reader muss das Annotation-Dictionary parsen, direkte und indirekte Werte auflösen, Geometrie- und Appearance-Daten normalisieren und das Ergebnis in Rendering-, Auswahl-, Bearbeitungs-, JavaScript- und Barrierefreiheitspfade überführen.
Die Fehlerklasse für CVE-2024-30350 ist ein Boundary-Validierungsfehler in dieser Annotation-Parsing-Pipeline. Ein fehlerhaftes Annotation-Objekt könnte Foxit PDF Reader dazu bringen, einer abgeleiteten Länge oder Objektform zu vertrauen, die nicht mehr zum zugrunde liegenden Puffer passte. Unter dem verwundbaren Pfad könnte das Programm über die zugewiesene Objektgrenze hinaus lesen. Der beobachtete Fehlermodus war eine Zugriffsverletzung während der Annotation-Behandlung; bei anders angeordnetem Speicher könnte dasselbe Primitiv angrenzenden Prozessspeicher offenlegen.
Das Problem war keine Ein-Klick-Netzwerkschwachstelle. Der Angreifer musste den Zielbenutzer dazu bringen, ein präpariertes Dokument zu öffnen oder eine Auslieferungsseite zu erreichen, die das Öffnen des Dokuments bewirkte. Dies spiegelt sich in der CVSS-Anforderung zur Benutzerinteraktion wider.
Die ursprüngliche Untersuchung begann als gezieltes Audit komplexer PDF-Objektfamilien und nicht als allgemeiner Dateiformat-Fuzzing-Lauf. Die Annotation-Behandlung wurde ausgewählt, weil Annotationen an einer dichten Schnittstelle von Parser-Logik, UI-Verhalten, JavaScript-Exposition und inkrementellen Dokumentaktualisierungen liegen.
Das frühe Korpus mischte gewöhnliche Dokumente mit synthetischen Seiten, die Annotation-Dictionaries mit hoher Varianz enthielten. Der Generator variierte Array-Längen, Objekt-Indirektion, Null-Werte, unerwartete primitive Typen, rekursive Referenzen und Appearance-Stream-Kombinationen. Die nützlichsten Samples waren nicht völlig zufällig. Sie waren grammatikbewusst genug, um Annotation-Normalisierungscode zu erreichen, aber dennoch fehlerhaft genug, um Annahmen im nativen Parser zu testen.
Das erste Signal war ein Absturz, der nur reproduziert werden konnte, wenn eine Seite eine bestimmte fehlerhafte Annotation-Struktur enthielt und die Annotation durch den interaktiven Behandlungspfad gezwungen wurde. Das Öffnen des Dokuments reichte aus, um die Seite zu parsen, aber die zuverlässige Reproduktion verbesserte sich, wenn die Ansicht aktualisiert, die Seite gezoomt oder der Annotation-Baum durch Auswahl- oder Rendering-Code berührt wurde.
Das Debugging grenzte das Problem auf ein Lesen über das Ende einer Heap-Allokation während der Annotation-Objektverarbeitung hinaus ein. Der Absturz ähnelte keiner Null-Dereferenzierung. Die fehlerhafte Instruktion konsumierte Speicher neben einem annotation-bezogenen Puffer, und die Größenverhältnisse im minimierten Sample deuteten auf eine Diskrepanz zwischen einer geparsten logischen Anzahl und dem tatsächlich für dieses Objekt verfügbaren Speicher hin.
Das Sample wurde minimiert, indem wiederholt nicht zusammenhängende PDF-Objekte, Seitenressourcen, Schriftarten, Metadaten und Streams entfernt wurden, bis nur noch der Seitenbaum, die Zielseite und die Annotation-Struktur übrig blieben. Die reduzierte Datei behielt dieselbe Absturzsignatur bei, was sie für die koordinierte Offenlegung geeignet machte.
Nach der Triage wurde der Befund über die Zero Day Initiative eingereicht. Das Datum des Herstellerberichts in der öffentlichen Advisory ist der 2023-12-20. Die koordinierte Advisory wurde am 2024-03-28 veröffentlicht, und Foxit adressierte das Problem in der 2024.1-Update-Linie.
Die direkte Auswirkung ist die Offenlegung von Speicher aus dem Foxit PDF Reader-Prozess. Isoliert bedeutet dies normalerweise eine begrenzte Vertraulichkeitsauswirkung. In einer vollständigeren Exploit-Kette kann ein Out-of-Bounds-Read jedoch wertvoll sein, um Heap-Inhalte, Objektzeiger, Allokationslayout oder andere Prozesszustände preiszugeben, die benötigt werden, um eine separate Speicherkorruptionsschwachstelle zuverlässig zu machen.
Dies erklärt den niedrigen eigenständigen CVSS-Score, während das Problem für die Härtung von Exploit-Ketten weiterhin bedeutsam bleibt.
Benutzer sollten Foxit PDF Reader und Foxit PDF Editor auf behobene Versionen aktualisieren. Organisationen, die nicht vertrauenswürdige PDFs verarbeiten, sollten außerdem Protected View, Safe Reading Mode, Dateireputationskontrollen, Anhangsfilterung und Endpoint-Exploit-Mitigationen aktiviert lassen.
Für Parser-Entwickler ist die wichtigste Lektion, dass Annotation-Dictionaries als nicht vertrauenswürdige strukturierte Eingabe behandelt werden sollten, selbst wenn das umgebende PDF syntaktisch gültig ist. Abgeleitete Längen, normalisierte Arrays, aufgelöste indirekte Objekte und zwischengespeicherte Objektdarstellungen sollten an jeder Grenze zwischen Parser-, Renderer-, Skripting- und UI-Code validiert werden.
| Pfad | Zweck |
|---|---|
README.md | Hauptübersicht der Schwachstelle |
docs/discovery-process.md | End-to-End-Forschungsnarrativ |
docs/advisory-notes.md | Fakten und Referenzen der öffentlichen Advisory |
docs/triage-checklist.md | Allgemeine Checkliste für die Triage von PDF-Reader-Abstürzen |
