CVE-2019-13288 – Бесконечная рекурсия в Parser::getObj() в Xpdf

Обзор

CVE-2019-13288 — это уязвимость, обнаруженная в Xpdf версии 4.01.01, а именно в функции Parser::getObj() в Parser.cc. Этот дефект может приводить к бесконечной рекурсии при обработке специально созданного PDF-файла, что приводит к состоянию отказа в обслуживании (DoS). Уязвимость схожа с CVE-2018-16646 и подчёркивает важность надёжной проверки входных данных в рекурсивных функциях.

Технические детали

CVE ID: CVE-2019-13288
Затронутое ПО: Xpdf 4.01.01
Тип уязвимости: Неконтролируемая рекурсия (CWE-674)
Воздействие: Отказ в обслуживании (DoS)
Базовый балл CVSS v3.0: 5.5 (Средний)
- Вектор: AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Уязвимая функция: `Parser::getObj()`

Функция Parser::getObj() отвечает за разбор объектов внутри PDF-файла. В Xpdf 4.01.01 в этой функции отсутствуют надлежащие проверки для предотвращения бесконечной рекурсии. Злоумышленник может создать PDF-файл с вредоносной структурой объектов, которая заставляет getObj() рекурсивно вызывать саму себя без завершения, что приводит к исчерпанию стека и краху приложения.

Эксплуатация

Вектор атаки

Злоумышленник создаёт вредоносный PDF-файл с определённой структурой объектов, предназначенной для запуска бесконечной рекурсии в функции Parser::getObj(). Когда этот файл обрабатывается Xpdf или любым приложением, использующим его библиотеку, приложение входит в бесконечный рекурсивный цикл, потребляя системные ресурсы и в конечном итоге аварийно завершаясь.

Доказательство концепции

PDF-файл, подтверждающий концепцию (PoC) и демонстрирующий эту уязвимость, доступен в этом репозитории ниже.

CVE-2019-13288-POC: CVE-2019-13288-POC-PDF

Пошаговая инструкция, как это было воспроизведено, приведена ниже:

Шаги для воспроизведения: STEPS_TAKEN_TO_REPLICATE

Примечание: Этот PoC предназначен только для образовательных и исследовательских целей. Несанкционированное использование против систем без явного разрешения неэтично и может быть незаконным. Не будьте плохими!

Смягчение последствий

Обновление Xpdf: Если доступно, обновитесь до версии Xpdf, в которой эта уязвимость исправлена.
Проверка входных данных: Внедрите строгую проверку PDF-файлов перед обработкой, особенно если они поступают из ненадёжных источников.
Изоляция (песочница): Запускайте приложения для обработки PDF в изолированной среде, чтобы ограничить потенциальный ущерб от вредоносных файлов.
Ограничение ресурсов: Настройте системные лимиты ресурсов, чтобы предотвратить потребление чрезмерных ресурсов одним процессом, снижая влияние потенциальных DoS-атак.

Ссылки

Национальная база данных уязвимостей: CVE-2019-13288
База данных рекомендаций GitHub: GHSA-prrp-xgrg-xvgp
Репозиторий PoC PanguL4b: stack-overflow_dos_Parser__getObj
Guided Hacking: Linux Fuzzing with AFL - Xpdf CVE-2019-13288

Благодарности

Этот анализ был вдохновлён методологиями, представленными в руководстве Fuzzing101 Антонио Моралеса. Уязвимость была первоначально выявлена с помощью методов фаззинга, что подчёркивает эффективность таких подходов в обнаружении скрытых дефектов программного обеспечения.

Antionio-Morales — легенда! Спасибо, без твоих исследований я бы не смог воспроизвести её!

Отказ от ответственности

Эта информация предоставлена только в образовательных и исследовательских целях. Автор не несёт ответственности за любое неправомерное использование информации, содержащейся здесь. Всегда убеждайтесь, что у вас есть надлежащее разрешение, прежде чем тестировать или эксплуатировать уязвимости в любой системе.

CVE-2019-13288

Популярное