拒绝服务漏洞

CVE编号

CVE-2018-18454

利用情况

暂无

补丁情况

官方补丁

披露时间

2018-10-18

漏洞描述

Xpdf 4.00中Stream.cc中的CCITTFaxStream::readRow()允许远程攻击者通过精心制作的pdf文件导致拒绝服务（基于堆的缓冲区超读），如pdftoppm所示。

解决建议

目前厂商暂未发布修复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法：
https://www.xpdfreader.com/

参考链接
https://forum.xpdfreader.com/viewtopic.php?f=3&t=41217
https://github.com/TeamSeri0us/pocs/tree/master/xpdf/2018_10_16/pdftoppm

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	xpdfreader	xpdf	4.00	-
	运行在以下环境
	系统	debian_10	xpdf	*		Up to (excluding) 3.04-13
	运行在以下环境
	系统	debian_11	xpdf	*		Up to (excluding) 3.04+git20210103-3
	运行在以下环境
	系统	debian_12	xpdf	*		Up to (excluding) 3.04+git20220201-1
	运行在以下环境
	系统	debian_9	xpdf	*		Up to (excluding) 3.04-4
	运行在以下环境
	系统	debian_sid	xpdf	*		Up to (excluding) 3.04+git20220201-1
查看完整数据

阿里云评分 2.9

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-125 跨界内存读