🚨 CVE-2024-4367: Execução Arbitrária de JavaScript no PDF.js

Este projeto demonstra e analisa CVE-2024-4367, uma vulnerabilidade de alta gravidade na biblioteca PDF.js da Mozilla que permite execução arbitrária de JavaScript devido à verificação inadequada de tipos no código de tratamento de fontes. Nossa pesquisa mostra como um PDF maliciosamente elaborado pode executar JavaScript em contextos como aplicativos Electron, potencialmente escalando para execução remota de código.

🔗 Repositório GitHub: Hacking-pdf.js-vulnerability

📖 Visão Geral do Projeto

• ID CVE: CVE-2024-4367
• Gravidade: Alta (CVSS v3.1 Pontuação: 8.8)
• Software Afetado
  • PDF.js < 4.2.67
  • Mozilla Firefox < 126
  • Firefox ESR < 115.11
  • Thunderbird < 115.11
• Exploit: Execução arbitrária de JavaScript via fontMatrix não sanitizada em fontes incorporadas.
• Prova de Conceito (PoC): Os PDFs ex1.pdf e ex-gist.pdf mostram alertas ou execução remota de script.

📂 Conteúdo do Repositório

• src/components/ReactPdfViewer.tsx – Visualizador React construído com react-pdf 5.7.2 (inclui o vulnerável pdfjs-dist 2.16.105)
• ex1.pdf – PDF malicioso que dispara um alerta
• ex-gist.pdf – PDF malicioso que busca e executa JS remoto
• CVE-2024-4367_Report_Hacking_Project.pdf – relatório técnico completo e análise de exploit

⚠️ Detalhes da Vulnerabilidade

Os elementos do array fontMatrix do PDF.js foram validados inadequadamente — aceitando strings injetadas diretamente no JavaScript compilado com new Function(...). Isso permite que atacantes criem dados de fonte maliciosos, causando execução arbitrária de código quando operações do tipo eval são permitidas.

Exemplo de código vulnerável:

fontMatrix = ["alert('XSS')", 0, 0, 1, 0, 0]; // Injected payload
// Results in compiled function like:
function drawGlyph() {
  transform("alert('XSS')", 0, 0, 1, 0, 0); // Unsafe execution
}

🛡️ Estratégias de Mitigação para CVE-2024-4367

Para mitigar esta vulnerabilidade e proteger aplicações que incorporam PDF.js (ou bibliotecas que o incluem), adote as seguintes medidas:

✅ Atualizar Dependências

• Atualize o PDF.js para v 4.2.67 (ou posterior), que corrige a falha de verificação de tipos.
• Se usar wrappers (ex.: react-pdf), confirme que eles incluem pdfjs-dist ≥ 4.2.67.

✅ Desativar Compilação Dinâmica

• Defina isEvalSupported = false no PDF.js para desativar a compilação dinâmica de Function.

✅ Reforçar Verificação de Tipos

• Adicione verificações explícitas de typeof em todos os valores fornecidos pelo usuário (ex.: o array fontMatrix).

✅ Sanitizar Entrada

• Rejeite ou sanitize qualquer entrada não numérica onde números são esperados.

✅ Usar Ferramentas de Monitoramento de Dependências

• Integre Snyk (ou similar) ao CI/CD para escanear dependências automaticamente.
• Mantenha package.json/yarn.lock atualizados e aplique automaticamente patches de segurança.

✅ Manter Navegadores e Runtimes Atualizados

• Execute versões corrigidas:
  • Firefox ≥ 126
  • Firefox ESR ≥ 115.11
  • Thunderbird ≥ 115.11
• Atualize os runtimes Electron para que incluam uma build segura do PDF.js.

✅ Aplicar Cabeçalhos de Segurança

Adicione uma Content-Security-Policy rigorosa:

Content-Security-Policy: script-src 'self'; object-src 'none';