阿里云漏洞库

中危在Xpdf 4.01.01中，在函数JBIG2Stream::close()中存在一个UAF漏洞。

CVE编号

CVE-2019-13289

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-07-05

漏洞描述

在Xpdf 4.01.01中，在位于JBIG2Stream.cc的函数JBIG2Stream::close()中存在一个UAF漏洞。例如，它可以通过向pdftoppm工具发送一个精心制作的PDF文档来触发。

解决建议

厂商尚未提供漏洞修复方案，请关注厂商主页更新：
http://www.xpdfreader.com/download.html

参考链接
https://github.com/PanguL4b/pocs/tree/master/xpdf/heap-use-after-free_JBIG2Stream

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	glyphandcog	xpdfreader	4.01.01	-
	运行在以下环境
	系统	debian_10	xpdf	*		Up to (excluding) 3.04-13
	运行在以下环境
	系统	debian_11	xpdf	*		Up to (excluding) 3.04+git20210103-3
	运行在以下环境
	系统	debian_12	xpdf	*		Up to (excluding) 3.04+git20220601-1

攻击路径

本地
攻击复杂度

复杂
权限要求

无需权限
影响范围

越权影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-416	释放后使用