PT-2022-20158 · Xpdf+1 · Xpdf+1

H00K1998 · Publicado 2022-05-09 · Atualizado 2024-08-08 · CVE-2022-30524

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Xpdf versão 4.0.4

Descrição

O problema é causado por um acesso inválido à memória na classe TextLine em TextOutputDev.cc. Isso ocorre porque o extrator de texto processa incorretamente caracteres em coordenadas y elevadas. A vulnerabilidade pode ser acionada pelo envio de um arquivo PDF malicioso ao binário pdftotext, permitindo que um invasor remoto cause uma negação de serviço (falha de segmentação) ou possivelmente tenha outros impactos não especificados.

Recomendações

Para a versão 4.0.4 do Xpdf, considere evitar o uso do binário pdftotext com arquivos PDF não confiáveis até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso ao módulo TextOutputDev.cc para minimizar o risco de exploração.

Exploit

Correção

DoS

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

ALT-PU-2024-10474

ALT-PU-2024-10804

ALT-PU-2024-7465

CVE-2022-30524

MGASA-2024-0035

Produtos afetados

Alt Linux

Xpdf

Referências · 12

• 🔥 https://forum.xpdfreader.com/viewtopic.php?f=3&t=42261 · Exploit
• https://cve.org/CVERecord?id=CVE-2022-30524 · Nota de Segurança
• https://t.me/cibsecurity/42210 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-30524 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-30524 · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2024-0035.html · Nota de Segurança
• https://t.me/cvenotify/51648 · Publicação no Telegram
• https://osv.dev/vulnerability/MGASA-2024-0035 · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=30812 · Nota
• http://xpdfreader.com/security-fixes.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-30524 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-30524 · Aviso do Fabricante