CVE-2023-3436
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Xpdf w wersji 4.04 może ulec zakleszczeniu podczas przetwarzania strumienia obiektów PDF, którego pole 'Length' znajduje się w innym strumieniu obiektów.
Ocena ryzyka
Zakleszczenie może prowadzić do niedostępności usługi, co wpływa na ciągłość działania organizacji.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Xpdf, aby uniknąć problemów z zakleszczeniem.
Inne podatności w Xpdf 4.04
Zobacz wszystkie- CVE-2022-24106Niskie
W Xpdf przed wersją 4.04 dekoder DCT (JPEG) nieprawidłowo zezwalał na zmianę flagi 'interleaved' po pierwszym skanie obrazu, co prowadzi do nieznanej podatności związanej z liczbami całkowitymi w Stream.cc. Podatność może być wykorzystana podczas przetwarzania spreparowanych plików PDF.
- CVE-2026-116671Niskie
Xpdf w wersji 4.06 i wcześniejszych zawiera podatność na nieskończoną pętlę spowodowaną nieprawidłową walidacją pola kolejności progresji w obrazie JPEG 2000. Może to prowadzić do zawieszenia aplikacji podczas przetwarzania spreparowanego pliku PDF.
- CVE-2026-85458Niskie
W Xpdf 4.06 i wcześniejszych wersjach występuje podatność na dzielenie przez zero, gdy glif w czcionce typu 3 ma zerową wysokość. Może to prowadzić do awarii programu lub nieprzewidzianego zachowania.
- CVE-2025-11896Niskie
W Xpdf 4.05 (i wcześniejszych) pętla obiektów PDF w CMap, poprzez wpis "UseCMap", prowadzi do nieskończonej rekurencji i przepełnienia stosu. Może to spowodować awarię aplikacji podczas przetwarzania złośliwego pliku PDF.
- CVE-2023-3044Niskie
W Xpdf występuje podatność związana z nadmiernie dużym rozmiarem strony PDF, co może prowadzić do błędu dzielenia przez zero w kodzie ekstrakcji tekstu. Problem ten został wykryty podczas testów fuzzingowych i jest mało prawdopodobny w normalnych plikach PDF.
Oryginalny opis (angielski, źródło NVD)
Xpdf 4.04 will deadlock on a PDF object stream whose "Length" field is itself in another object stream.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS