Podatności SumatraPDF

SumatraPDF przed wersją 3.6 zawiera lukę w funkcji MobiDoc::ParseHeader, gdzie dekoder tworzony jest z długością stałą, a nie rzeczywistą długością bufora. Złośliwy plik MOBI może spowodować odczyt poza buforem, co prowadzi do awarii aplikacji (crash).

SumatraPDF w wersji 3.6.1 i wcześniejszych w pliku src/SelectionTranslate.cpp osadza zaznaczony lub wklejony tekst tłumaczenia w cytowanych wierszach poleceń Windows, stosując niekompletne escapowanie cudzysłowów. Funkcje BuildGrokTranslateCmdLineTemp(), BuildClaudeTranslateCmdLineTemp() i BuildCodexTranslateCmdLineTemp() mogą pozwolić tekstowi kontrolowanemu przez atakującego na wstrzyknięcie flag modelu, katalogu roboczego, zatwierdzania lub obejścia sandboxa, gdy odpowiedni backend CLI agenta jest zainstalowany i używany.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w ChmFile::GetCharZ(), gdzie niekontrolowane offsety z plików CHM są zawężane do liczb ze znakiem bez sprawdzenia dolnego zakresu. Może to prowadzić do odczytu przed buforem /#STRINGS i deterministycznego zakończenia aplikacji.

SumatraPDF w wersji 3.6.1 i wcześniejszych oraz w wersji przedpremierowej 3.7.0.20369 (gdy WebView2 jest niedostępny) zawiera podatność w ParseProtoUrl(), gdzie podpisany komponent hosta URL its:// jest używany jako indeks do gHtmlWindows. Może to prowadzić do odczytu poza zakresem i nieprawidłowego wywołania zwrotnego, kończącego proces.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w MaybeFlipBitmap(), gdzie GDI+ odczytuje rozmiar PropertyTagOrientation kontrolowany przez atakującego do stałego 64-bajtowego bufora na stosie. Otwarcie spreparowanego pliku TIFF może prowadzić do nadpisania danych sterujących na stosie, choć w testowanych buildach proces kończy się przez kontrolę cookie stosu.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w InitializePolicies(), gdzie ścieżka sumatrapdfrestrict.ini zaczyna się od gPolicyRestrictions ustawionego na Perm::All i tylko dodaje bity uprawnień, więc plik INI nigdy nie odbiera uprawnień. Wdrożenie z tym plikiem INI, w tym z błędnym plikiem lub zerowymi ustawieniami, może cicho ominąć skonfigurowane ograniczenia dysku, sieci, drukowania, rejestru, schowka, preferencji i pełnoekranowe.

SumatraPDF w wersji 3.5.2 i wcześniejszych podstawia nazwę pliku źródłowego SyncTeX kontrolowaną przez atakującego w miejsce symbolu zastępczego %f w wierszu poleceń zewnętrznego edytora bez bezpiecznego cytowania argumentów Windows, a wynikowy wiersz poleceń jest przekazywany do CreateProcessW(). Użytkownik z skonfigurowanym lub automatycznie wykrytym zewnętrznym edytorem, który otworzy PDF ze spreparowanym plikiem .synctex.gz i wywoła wyszukiwanie odwrotne, może wstrzyknąć flagi wiersza poleceń.

SumatraPDF w wersji 3.6.1 i wcześniejszych zawiera podatność w FrameOnCommand(), gdzie CmdExec przekazuje zerowy wskaźnik bieżącej karty do RunWithExe(), który dereferencjonuje WindowTab::filePath. Lokalny proces w tej samej sesji Windows, o poziomie integralności większym lub równym SumatraPDF, może wysłać CmdExec przez DDE lub WM_COPYDATA, gdy nie jest otwarta żadna karta dokumentu, powodując nagłe zakończenie procesu i utratę niezapisanych danych.

SumatraPDF w wersji 3.6.1 i wcześniejszych interpoluje niezaufane ścieżki dokumentów i cele linków PDF do tekstu powiadomień, który ParseTip() interpretuje jako zaufany znacznik podpowiedzi. Gdy użytkownik kliknie wstrzyknięty link, ExecuteTipLink() wywołuje polecenie CmdExec i może uruchomić lokalny program wybrany przez atakującego w kontekście użytkownika.

SumatraPDF w wersji 3.7.0.22298 zawiera cztery niezależnie osiągalne warianty walidacji zakresu w src/LitDoc.cpp, które pozwalają na przepełnienie, zawężenie do wartości ujemnych lub zawinięcie niekontrolowanych offsetów i rozmiarów przed niepełnymi kontrolami granic. Otwarcie spreparowanego pliku LIT może powodować nieprawidłowe odczyty wskaźników i deterministyczne zakończenie aplikacji.

SumatraPDF w wersji 3.7.0.22298 zawiera podatność w LitParseHeader() w src/LitDoc.cpp, gdzie obliczany jest offset sekcji hdrLen + nPieces * 16 przy użyciu arytmetyki ze znakiem 32-bitowym bez walidacji pełnego wyniku. Gdy suma przekroczy zakres i stanie się ujemna, konstrukcja wskaźnika prowadzi do nieprawidłowego odczytu w LitU32(), powodując deterministyczne zakończenie aplikacji.

SumatraPDF w wersji 3.7.0.22298 zawiera podatność w src/MobiDoc.cpp, gdzie niezaufane pole mobiHdr.hdrLen (bez znaku) jest zawężane do liczby ze znakiem do walidacji; wartości powyżej INT_MAX stają się ujemne i omijają górną granicę. Gdy flaga EXTH jest ustawiona, oryginalna wartość bez znaku jest używana jako offset wskaźnika, powodując odczyt poza buforem rekordu w DecodeExthHeader(). Otwarcie spreparowanego pliku MOBI może niezawodnie zakończyć aplikację z naruszeniem dostępu.

SumatraPDF 3.6.1 zawiera podatność na przepełnienie liczby całkowitej w funkcji EngineMupdf::BuildPageLabelRec() podczas parsowania wpisów /Nums w PageLabels pliku PDF.

SumatraPDF to czytnik wielu formatów dla systemu Windows. W wersji 3.6.1 i wcześniejszych spreparowany plik CHM może dostarczyć nieprawidłowe długości kodów Huffmana LZX do funkcji make_decode_table w ext/CHMLib/lzx.c. W gałęzi długich kodów funkcja zapisuje nowe węzły wewnętrzne przez next_symbol przed walidacją, czy kanoniczna tablica Huffmana nie przepełniła się. Przypadek PRETREE może zapisać poza 104-elementową tablicę PRETREE_table do sąsiedniego stanu sterty w strukturze LZXstate, gdy osiągnięty jest przez chm_open, chm_retrieve_object, LZXdecompress i BUILD_TABLE. Powoduje to uszkodzenie pamięci sterty w procesie parsera, podczas gdy nie wykazano wykonania dowolnego kodu. Brak dostępnej naprawionej wersji w momencie przeglądu.