landw-hub/cve-2025-46206CVE-2025-46206 — концепт-эксплойт, демонстрирующий уязвимость типа «отказ в обслуживании» в MuPDF 1.25.6 через бесконечную рекурсию в pdf-clean-file.c, с шагами воспроизведения и патчем от вендора.
В MuPDF 1.25.6 и более ранних версиях существует уязвимость типа «отказ в обслуживании». Когда злоумышленник выполняет команду «mutool clean poc /dev/null», программа попадает в бесконечную рекурсию между функциями strip_outlines() и strip_outline() в файле pdf-clean-file.c, пока стек не будет исчерпан.
См. во вложении конкретный POC-файл, причину уязвимости, процесс воспроизведения и рекомендации по исправлению.
Поставщик (Artifex Software, сопровождающий MuPDF) подтвердил наличие проблемы и исправил ошибку. Исправление внесено в их официальный репозиторий.
Ниже приведена публичная ссылка на исправление/коммит, предоставленная поставщиком:
https://bugs.ghostscript.com/show_bug.cgi?id=708521
https://cgit.ghostscript.com/cgi-bin/cgit.cgi/mupdf.git/commit/?id=0ec7e4d2201bb6df217e01c17396d36297abf9ac
Это подтверждает, что уязвимость признана и устранена.
