NitroPDF多个远程代码执行缝隙安全公告

颁布功夫 2019-10-11

缝隙编号和级别


CVE编号：CVE-2019-5045，危险级别：高危，CVSS分值：厂商自评：8.8，官方未评定

CVE编号：CVE-2019-5050，危险级别：高危，CVSS分值：厂商自评：8.8，官方未评定

CVE编号：CVE-2019-5048，危险级别：高危，CVSS分值：厂商自评：8.8，官方未评定

CVE编号：CVE-2019-5047，危险级别：高危，CVSS分值：厂商自评：7.5，官方未评定

CVE编号：CVE-2019-5046，危险级别：高危，CVSS分值：厂商自评：8.8，官方未评定

CVE编号：CVE-2019-5053，危险级别：高危，CVSS分值：厂商自评：7.5，官方未评定


影响版本


Nitro Software NitroPDF 12.12.1.522版本


缝隙概述


Nitro Software NitroPDF是美国Nitro Software公司的一款用于查看和编纂PDF文件的软件。


思科Talos披露NitroPDF中的多个远程代码执行缝隙。Nitro PDF允许用户在其推算机上保留、阅读和编纂PDF文件，该产品分为免费版和收费版。这次发现的缝隙都存在于收费的Pro版中。缝隙蕴含：


jpeg2000 ssizDepth远程代码执行缝隙（CVE-2019-5045）

攻击者可借助恶意的文件利用该缝隙执行肆意代码。


Page Kids远程代码执行缝隙（CVE-2019-5050）

攻击者可借助特造的PDF文件利用该缝隙执行肆意代码。


ICCBased色彩空间远程代码执行缝隙（CVE-2019-5048）

攻击者可借助特造的PDF文件利用该缝隙执行肆意代码。


CharProcs远程代码执行缝隙（CVE-2019-5047）

Nitro Software NitroPDF中的CharProcs解析职能存在资源治理谬误缝隙。该缝隙源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的治理不当。


jpeg2000 yTsiz远程代码执行缝隙（CVE-2019-5046）

攻击者可借助恶意的文件利用该缝隙执行肆意代码。


流长度解析职能内存败坏缝隙（CVE-2019-5053）

Nitro Software NitroPDF中的长度解析函数存在资源治理谬误缝隙。该缝隙源于网络系统或产品对系统资源（如内存、磁盘空间、文件等）的治理不当。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：https://www.gonitro.com。


参考链接


https://blog.talosintelligence.com/2019/10/vuln-spotlight-Nitro-PDF-RCE-bugs-sept-19.html