CVE-2023-36464
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Biblioteka pypdf, będąca otwartym źródłem w czystym Pythonie, zawiera podatność, która może prowadzić do nieskończonej pętli podczas przetwarzania złośliwego pliku PDF. Problem ten występuje w wersjach, w których wykonano metodę `__parse_content_stream`.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zablokowania aplikacji przetwarzającej PDF, co może prowadzić do utraty dostępności usług. Organizacje powinny być świadome ryzyka związanego z przetwarzaniem nieznanych plików PDF.
Rekomendacja
Zaleca się aktualizację biblioteki pypdf do najnowszej wersji, aby usunąć tę podatność. Użytkownicy, którzy nie mogą zaktualizować, powinni wprowadzić zmiany w kodzie, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
pypdf is an open source, pure-python PDF library. In affected versions an attacker may craft a PDF which leads to an infinite loop if `__parse_content_stream` is executed. That is, for example, the case if the user extracted text from such a PDF. This issue was introduced in pull request #969 and resolved in pull request #1828. Users are advised to upgrade. Users unable to upgrade may modify the line `while peek not in (b"\r", b"\n")` in `pypdf/generic/_data_structures.py` to `while peek not in (b"\r", b"\n", b"")`.