Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2019-13288 — afl 퍼저 계측(instrumentation)을 사용하여 복제됨! antonio-morales에게 감사를 전합니다. | Kitploit
도구/GitHubGitHub/wildwestcybersecurity/cve-2019-13288
Vulnerability AnalysisExploitationFuzzingBinary AnalysisPapers & ResearchLearning & Education
GitHubwildwestcybersecurity/cve-2019-13288

CVE-2019-13288

afl 퍼저 계측(instrumentation)을 사용하여 복제됨! antonio-morales에게 감사를 전합니다.

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
저장소 보기
11년 전아직 검토되지 않음
공유

CVE-2019-13288 – Xpdf의 Parser::getObj() 무한 재귀

개요

CVE-2019-13288은 Xpdf 버전 4.01.01에서 발견된 취약점으로, 특히 Parser.cc의 Parser::getObj() 함수에 존재합니다. 이 결함은 특수하게 조작된 PDF 파일을 처리할 때 무한 재귀를 유발하여 서비스 거부(DoS) 상태를 초래할 수 있습니다. 이 취약점은 CVE-2018-16646과 유사하며, 재귀 함수에서 강력한 입력 검증의 중요성을 강조합니다.

기술 세부 정보

  • CVE ID: CVE-2019-13288

  • 영향을 받는 소프트웨어: Xpdf 4.01.01

  • 취약점 유형: Uncontrolled Recursion (CWE-674)

  • 영향: 서비스 거부(DoS)

  • CVSS v3.0 기본 점수: 5.5 (Medium)

    • 벡터: AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

취약 함수: Parser::getObj()

함수는 PDF 파일 내의 객체를 파싱하는 역할을 담당합니다. Xpdf 4.01.01에서 이 함수는 무한 재귀를 방지하기 위한 적절한 검사가 부족합니다. 공격자는 가 종료 없이 자기 자신을 재귀적으로 호출하게 만드는 악의적인 객체 구조를 가진 PDF 파일을 제작할 수 있으며, 이로 인해 스택 고갈과 애플리케이션 충돌이 발생합니다.

Parser::getObj()
getObj()

악용

공격 경로

공격자는 Parser::getObj() 함수에서 무한 재귀를 유발하도록 설계된 특정 객체 구조를 가진 악성 PDF 파일을 제작합니다. 이 파일이 Xpdf 또는 해당 라이브러리를 사용하는 애플리케이션에 의해 처리되면 애플리케이션은 끝없는 재귀 루프에 빠져 시스템 리소스를 소모하고 결국 충돌합니다.

개념 증명

이 취약점을 입증하는 개념 증명(PoC) PDF 파일은 이 저장소 아래에서 확인할 수 있습니다.

  • CVE-2019-13288-POC: CVE-2019-13288-POC-PDF

재현 방법을 단계별로 알아보려면 아래를 참조하세요:

  • 재현 단계: STEPS_TAKEN_TO_REPLICATE

참고: 이 PoC는 교육 및 연구 목적으로만 제공됩니다. 명시적 허가 없이 시스템에 사용하는 것은 비윤리적이며 불법일 수 있습니다. 나쁜 짓 하지 마세요!

완화 조치

  • Xpdf 업그레이드: 가능하다면 이 취약점이 패치된 Xpdf 버전으로 업데이트하십시오.
  • 입력 검증: 특히 신뢰할 수 없는 출처에서 온 PDF 파일을 처리하기 전에 엄격한 검증을 수행하십시오.
  • 샌드박싱: 악성 파일로 인한 잠재적 피해를 제한하기 위해 PDF 처리 애플리케이션을 샌드박스 환경에서 실행하십시오.
  • 리소스 제한: 단일 프로세스가 과도한 리소스를 소비하지 않도록 시스템 리소스 한도를 구성하여 잠재적인 DoS 공격의 영향을 완화하십시오.

참고 자료

  • 국가 취약점 데이터베이스: CVE-2019-13288
  • GitHub Advisory 데이터베이스: GHSA-prrp-xgrg-xvgp
  • PanguL4b PoC 저장소: stack-overflow_dos_Parser__getObj
  • Guided Hacking: Linux Fuzzing with AFL - Xpdf CVE-2019-13288

감사의 말

이 분석은 Antonio Morales의 Fuzzing101 가이드에 제시된 방법론에서 영감을 받았습니다. 이 취약점은 퍼징 기법을 통해 처음 발견되었으며, 숨겨진 소프트웨어 결함을 발견하는 데 있어 이러한 접근 방식의 효과를 보여줍니다.

Antionio-Morales는 goat입니다! 당신의 연구가 없었다면 재현할 수 없었을 것입니다. 감사합니다!

면책 조항

이 정보는 교육 및 연구 목적으로만 제공됩니다. 저자는 여기에 포함된 정보의 오용에 대해 책임을 지지 않습니다. 어떤 시스템에서든 취약점을 테스트하거나 악용하기 전에 반드시 적절한 권한을 확보하십시오.

도구 다운로드