CVE-2024-4367｜Mozilla PDF.js代码执行漏洞

0x00 前言

PDF.js 是一个使用 HTML5 构建的便携式文档格式查看器。

pdf.js 是社区驱动的，并由 Mozilla 支持。我们的目标是为解析和呈现 PDF 创建一个通用的、基于 Web 标准的平台。

0x01 漏洞描述

在font_loader.js中存在代码注入漏洞，当PDF.js配置isEvalSupported选项设置为true(默认值)时会将输入传递到eval()函数，攻击者可通过诱导用户打开恶意PDF文件来利用漏洞，成功利用漏洞可以执行任意JavaScript。

0x02 CVE编号

CVE-2024-4367

0x03 影响版本

Mozilla PDF.js < 4.2.67

pdfjs-dist(npm) < 4.2.67

react-pdf(npm) < 7.7.3

8.0.0 <= react-pdf(npm) < 8.0.2

0x04 漏洞详情

https://github.com/mozilla/pdf.js/security/advisories/GHSA-wgrm-67xf-hhpq

0x05 参考链接

https://github.com/mozilla/pdf.js/security/advisories/GHSA-wgrm-67xf-hhpq