La librería de código abierto Dompdf presenta una nueva vulnerabilidad crítica, identificada como CVE-2023-24813 con puntuación CVSS 10, que al ser explotada con éxito puede conducir a la ejecución remota de código en un servidor de destino.
Esta vulnerabilidad surge debido a una corrección incompleta de la falla CVE-2023-23924, emitido en nuestro boletín, que provocó la omisión del parche y la activación de la vulnerabilidad. Mediante el envío de información especialmente diseñada, un atacante podría aprovechar esta vulnerabilidad para ejecutar código arbitrario en el sistema, causado por la deserialización insegura de datos.
Un agente malicioso al proporcionar un archivo SVG a Dompdf, puede aprovechar esta vulnerabilidad para llamar a una URL arbitraria con protocolos arbitrarios.
En las versiones de PHP anteriores a la 8.0.0, conduce a una deserialización arbitraria, que generará al menos a una eliminación de archivos intencionados y podría provocar a la ejecución remota de código.
Esta vulnerabilidad afecta a la versión 2.0.2 de la librería, misma que se ha corregido en la versión 2.0.3.
Dompdf 2.0.3 requiere lo siguiente:
- PHP 7.1 o superior
- html5-php v2.0.0 o superior
- php-font-lib v0.5.4 o superior
- php-svg-lib v0.3.3 o superior
Adicionalmente, se recomienda lo siguiente para un uso óptimo:
- OPcache (OPcache, XCache, APC, etc.): mejora el rendimiento
- GD (para procesamiento de imágenes)
- Extensión IMagick o GMagick: mejora el rendimiento del procesamiento de imágenes
Recomendaciones
- Los usuarios de la librería Dompdf deben actualizar a la versión 2.0.3 lo antes posible.
Referencias