PDF生成ライブラリ「dompdf」に深刻な脆弱性 - 2度にわたり更新

HTML形式のデータをレンダリングし、PDFを生成できるPHP向けライブラリ「dompdf」に深刻な脆弱性が明らかとなった。当初の修正もバイパスが可能であることが判明し、再度アップデートがリリースされている。

「同2.0.1」および以前のバージョンにおいて、URIの検証処理に不備がある脆弱性「CVE-2023-23924」が1月末に明らかとなったもの。

「PHP 8.0」より以前の環境で細工したSVGファイルを処理すると、任意のファイルを削除されるおそれがあり、環境によってはリモートよりコードの実行も可能だという。

開発チームでは、修正版として「同2.0.2」をリリースした。しかしながら、対策をバイパスして依然として任意のURIを呼び出すことが可能であることが判明。あらたにCVE番号「CVE-2023-24813」が割り振られている。

CVE番号を採番したGitHubでは、いずれも共通脆弱性評価システム「CVSSv3.1」のベーススコアを最大値である「10.0」と評価。重要度を「クリティカル（Critical）」とレーティングしている。

開発チームでは、「同2.0.2」の置き換えとして「同2.0.3」をリリースした。脆弱性の実証コード（PoC）も公開されている。

（Security NEXT - 2023/02/08 ）ツイート