PT-2024-36808 · Poppler+6 · Poppler+6

Publicado 2024-12-22 · Atualizado 2025-10-10 · CVE-2024-56378

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Poppler anteriores à 24.12.0

Descrição

O problema é uma vulnerabilidade de leitura fora dos limites na função JBIG2Bitmap::combine, no arquivo JBIG2Stream.cc. Essa vulnerabilidade ocorre no arquivo libpoppler.so do Poppler.

Recomendações

Para versões anteriores à 24.12.0, como solução temporária, considere desativar a função JBIG2Bitmap::combine até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

BDU:2025-06968

CVE-2024-56378

DLA-4141-1

MGASA-2025-0022

OESA-2024-2602

OESA-2025-1018

OPENSUSE-SU-2024_4421-1

OPENSUSE-SU-2024_4422-1

OPENSUSE-SU-2024_4435-1

OPENSUSE-SU-2025:14616-1

SUSE-SU-2024:4421-1

SUSE-SU-2024:4422-1

SUSE-SU-2024:4423-1

SUSE-SU-2024:4432-1

SUSE-SU-2024:4435-1

SUSE-SU-2024_4423-1

SUSE-SU-2024_4432-1

SUSE-SU-2024_4435-1

USN-7213-1

Produtos afetados

Astra Linux

Debian

Linuxmint

Poppler

Red Os

Suse

Ubuntu

Referências · 54

• 🔥 https://gitlab.freedesktop.org/poppler/poppler/-/issues/1553 · Exploit
• https://suse.com/support/update/announcement/2024/suse-su-20244422-1 · Nota
• https://gitlab.freedesktop.org/poppler/poppler/-/commit/ade9b5ebed44b0c15522c27669ef6cdf93eff84e · Correção
• https://bdu.fstec.ru/vul/2025-06968 · Nota de Segurança
• https://osv.dev/vulnerability/SUSE-SU-2024:4432-1 · Aviso do Fabricante
• https://gitlab.freedesktop.org/poppler/poppler/-/blob/30eada0d2bceb42c2d2a87361339063e0b9bea50/CMakeLists.txt#L621 · Nota
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/3.1 · Nota
• https://bugs.mageia.org/show_bug.cgi?id=33932 · Nota
• https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-56378 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2024-2602 · Nota
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2025-1018 · Nota
• https://t.me/cvenotify/105262 · Publicação no Telegram
• https://twitter.com/xvonfers/status/1871118954636214707 · Publicação no Twitter
• https://osv.dev/vulnerability/BELL-CVE-2024-56378 · Aviso do Fabricante