CVE-2024-4367 & CVE-2024-34342：PDF.js 中的任意 JavaScript 执行

处理 PDF.js 中的字体时缺少类型检查，这将允许在 PDF.js 上下文中执行任意 JavaScript。此漏洞会影响 Firefox < 126、Firefox ESR < 115.11 和 Thunderbird < 115.11。

如果使用 pdf.js 加载恶意 PDF，并且 PDF.js 配置为将 isEvalSupported 设置为 true（这是默认值），则不受限制的攻击者控制的 JavaScript 将在托管域的上下文中执行。

• JS 执行

python3 CVE-2024-4367.py "alert(document.domain)"

• 操作系统命令执行（仅基于 Electron）

python3 CVE-2024-4367.py "require('child_process').exec('open -a /Applications/Calculator.app');"

这不是我的错误，我只是为它做了一个 PoC。

参考

• https://github.com/advisories/GHSA-wgrm-67xf-hhpq

• https://nvd.nist.gov/vuln/detail/CVE-2024-4367

CVE-2024-4367 & CVE-2024-34342 Proof of Concepthttps://github.com/LOURC0D3/CVE-2024-4367-PoC

原文始发于微信公众号（Ots安全）：CVE-2024-4367 & CVE-2024-34342：PDF.js 中的任意 JavaScript 执行