🚨 CVE-2024-4367: Esecuzione Arbitraria di JavaScript in PDF.js

Questo progetto dimostra e analizza CVE-2024-4367, una vulnerabilità ad alta gravità nella libreria PDF.js di Mozilla che permette l'esecuzione arbitraria di JavaScript attraverso un controllo inadeguato dei tipi nel codice di gestione dei font. La nostra ricerca mostra come un PDF creato ad arte possa eseguire JavaScript in contesti come le applicazioni Electron, potenzialmente escalando fino all'esecuzione di codice remoto.

🔗 Repository GitHub: Hacking-pdf.js-vulnerability

📖 Panoramica del Progetto

• CVE ID: CVE-2024-4367
• Gravità: Alta (Punteggio CVSS v3.1: 8.8)
• Software Affetto
  • PDF.js < 4.2.67
  • Mozilla Firefox < 126
  • Firefox ESR < 115.11
  • Thunderbird < 115.11
• Exploit: Esecuzione arbitraria di JavaScript tramite fontMatrix non sanificato nei font incorporati.
• Proof of Concept (PoC): I PDF ex1.pdf e ex-gist.pdf mostrano avvisi o esecuzione di script remoti.

📂 Contenuti del Repository

• src/components/ReactPdfViewer.tsx – Visualizzatore React costruito con react-pdf 5.7.2 (include pdfjs-dist vulnerabile 2.16.105)
• ex1.pdf – PDF malevolo che attiva un avviso
• ex-gist.pdf – PDF malevolo che recupera ed esegue JS remoto
• CVE-2024-4367_Report_Hacking_Project.pdf – Report tecnico completo e analisi dell'exploit

⚠️ Dettagli della Vulnerabilità

Gli elementi dell'array fontMatrix di PDF.js non erano validati correttamente—accettando stringhe iniettate direttamente nel JavaScript compilato con new Function(...). Ciò consente agli aggressori di creare dati di font malevoli, causando l'esecuzione di codice arbitrario quando sono permesse operazioni simili a eval.

Esempio di percorso di codice vulnerabile:

fontMatrix = ["alert('XSS')", 0, 0, 1, 0, 0]; // Payload iniettato
// Risulta in una funzione compilata come:
function drawGlyph() {
  transform("alert('XSS')", 0, 0, 1, 0, 0); // Esecuzione non sicura
}

🛡️ Strategie di Mitigazione per CVE-2024-4367

Per mitigare questa vulnerabilità e proteggere le applicazioni che incorporano PDF.js (o librerie che lo includono), adottare le seguenti misure:

✅ Aggiornare le Dipendenze

• Aggiornare PDF.js alla v 4.2.67 (o successiva) che corregge il difetto di controllo dei tipi.
• Se si utilizzano wrapper (es. react-pdf), verificare che includano pdfjs-dist ≥ 4.2.67.

✅ Disabilitare la Compilazione Dinamica

• Impostare isEvalSupported = false in PDF.js per disattivare la compilazione dinamica di Function.

✅ Imporre il Controllo dei Tipi

• Aggiungere controlli espliciti typeof su tutti i valori forniti dall'utente (es. l'array fontMatrix).

✅ Sanificare l'Input

• Rifiutare o sanificare qualsiasi input non numerico dove ci si aspettano numeri.

✅ Utilizzare Strumenti di Monitoraggio delle Dipendenze

• Integrare Snyk (o simile) nella pipeline CI/CD per scansionare automaticamente le dipendenze.
• Mantenere aggiornati package.json/yarn.lock e applicare automaticamente le patch di sicurezza.

✅ Mantenere Aggiornati Browser e Runtime

• Eseguire versioni aggiornate:
  • Firefox ≥ 126
  • Firefox ESR ≥ 115.11
  • Thunderbird ≥ 115.11
• Aggiornare i runtime Electron in modo che includano una build sicura di PDF.js.

✅ Applicare le Intestazioni di Sicurezza

Aggiungere una Content-Security-Policy rigorosa:

Content-Security-Policy: script-src 'self'; object-src 'none';