penguincabinet/cve-2024-4367-hands-onLaboratorio pratico per apprendere CVE-2024-4367 (Firefox PDF.js RCE) con generazione di PoC, avvio del browser vulnerabile e verifica della versione patchata.
[!IMPORTANT] Questo repository è pensato per apprendere le vulnerabilità.
Questo hands-on deve essere eseguito esclusivamente su un computer adeguato di tua proprietà. Non compiere mai azioni illegali.
Inoltre, l'autore non si assume alcuna responsabilità per eventuali danni derivanti dall'uso di questo repository.
Hands-on per provare CVE-2024-4367
python CVE-2024-4367-PoC/CVE-2024-4367.py "alert('document.domain')"
Fonte: https://github.com/LOURC0D3/CVE-2024-4367-PoC
Verrà creato il file poc.pdf per l'attacco.
Per istruzioni più dettagliate, fare riferimento a quanto segue.
https://github.com/LOURC0D3/CVE-2024-4367-PoC
python firefox.py 125
Utilizzando una versione vulnerabile di Firefox Nightly, aprire poc.pdf.
Al primo avvio, il download di Firefox Nightly richiederà del tempo.
Verificare che JavaScript venga eseguito e che venga visualizzato un avviso.
python firefox.py 135
Aprire poc.pdf con la nuova versione di Firefox Nightly e verificare che l'avviso non venga visualizzato, confermando che la vulnerabilità è stata corretta.
Sono disponibili vulnerable-pdf.js, che contiene la vulnerabilità, e invulnerable-pdf.js, in cui la vulnerabilità è stata corretta.
pdfjs_diff_font_renderer.js è il diff tra vulnerable-pdf.js/src/core/font_renderer.js e invulnerable-pdf.js/src/core/font_renderer.js.