PT-2024-36831 · Tcpdf+2 · Tcpdf+2

Publicado 2024-12-27 · Atualizado 2025-08-21 · CVE-2024-56522

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do TCPDF anteriores à 6.8.0

Descrição

Foi detectada uma falha na função unserializeTCPDFtag, que utiliza uma comparação fraca (!=) e não emprega uma função de tempo constante para comparar os hashes das tags do TCPDF. Isso pode potencialmente levar a problemas de segurança.

Recomendações

Para versões anteriores à 6.8.0, atualize para a versão 6.8.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a função unserializeTCPDFtag até que um patch esteja disponível.

Exploit

Correção

DoS

Type Confusion

Enumeração de Fraquezas

CWE-843

CWE-697

Identificadores relacionados

BDU:2025-10830

CVE-2024-56522

DLA-4199-1

DSA-5933-1

GHSA-W95C-7994-GHPR

MGASA-2025-0059

Produtos afetados

Debian

Red Os

Tcpdf

Referências · 29

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/56xxx/CVE-2024-56522.json · Exploit
• https://github.com/tecnickcom/TCPDF/commit/d54b97cec33f4f1a5ad81119a82085cad93cec89 · Correção
• https://github.com/tecnickcom/TCPDF/compare/6.7.8...6.8.0 · Nota
• https://github.com/tecnickcom/TCPDF · Nota
• https://twitter.com/cracbot/status/1874334795423203359 · Publicação no Twitter
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-php-tcpdf-21082025 · Nota
• https://osv.dev/vulnerability/GHSA-w95c-7994-ghpr · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-4199-1 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2024-56522 · Aviso do Fabricante
• https://t.me/cvenotify/105568 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-56522 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-56522 · Aviso do Fabricante
• http://repo.red-soft.ru/redos/7.3c/x86_64/updates · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2025-0059 · Aviso do Fabricante
• https://php.net/manual/en/types.comparisons.php · Nota