pypdf, eine rein in Python implementierte PDF-Bibliothek, kann beim Öffnen eines präparierten PDFs mit Cross-Reference-Streams, die sehr grosse Eintragsanzahlen deklarieren, übermässig viel Speicher verbrauchen. Ein Angreifer kann so in Anwendungen, die nicht vertrauenswürdige PDF-Dateien verarbeiten, einen Denial of Service auslösen. Für die Ausnutzung ist keine Authentifizierung nötig, und der CNA bewertet den CVSS-4.0-Score mit 7.1 (High), wobei nur die Verfügbarkeit betroffen ist.
py-pdf · pypdf
pypdf, eine rein in Python geschriebene PDF-Bibliothek, kann übermässig viel Zeit und Speicher verbrauchen, wenn eine Anwendung die Seitenzahl eines präparierten verschlüsselten PDFs abfragt, dessen Seitenbaum einen gefälschten /Count-Wert deklariert. Nach der Entschlüsselung vertraut die Bibliothek dem deklarierten Wert, statt den Seitenbaum zu durchlaufen. Ein Angreifer kann so einen Denial of Service auslösen, indem er einer Anwendung eine solche Datei übergibt, die untrusted PDFs verarbeitet.
py-pdf · pypdf
pypdf, eine rein in Python implementierte PDF-Bibliothek, kann im Strict Mode übermässig viel Speicher verbrauchen, wenn ein manipuliertes, ungültiges PDF-Dictionary verarbeitet wird. Verschachtelte Parsing-Fehler wiederholen den Exception-Text in neu ausgelösten Fehlern, sodass ein kleines fehlerhaftes Dictionary sehr grosse Fehlermeldungen erzeugen kann. Ein Angreifer kann dadurch den Speicher erschöpfen und die verarbeitende Anwendung zum Absturz bringen, was einem Denial of Service entspricht. Voraussetzung ist eine Anwendung, die nicht vertrauenswürdige PDFs mit aktiviertem Strict Mode verarbeitet.
py-pdf · pypdf
pypdf, eine rein in Python implementierte PDF-Bibliothek, benötigt beim Abrufen von Seitenbeschriftungen übermässig viel Zeit für eine präparierte PDF-Datei, die einen flachen Number Tree für Seitenbeschriftungen mit vielen Bereichen enthält. Die Eigenschaft page_labels durchsucht dabei für jede Seite erneut dasselbe /Nums-Array, sodass der Aufwand mit der Seitenzahl und der Anzahl der Beschriftungsbereiche wächst. Ein Angreifer kann durch eine solche Datei an eine Anwendung, die Seitenbeschriftungen ausliest, lange Laufzeiten auslösen (Denial of Service); Vertraulichkeit und Integrität sind nicht betroffen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa das Öffnen oder Verarbeiten der Datei.
py-pdf · pypdf
pypdf, eine rein in Python implementierte Bibliothek zur Verarbeitung von PDF-Dateien, kann in eine Endlosschleife geraten, wenn eine speziell präparierte PDF-Datei mit zyklischen Dictionary-Referenzen geklont oder dupliziert wird. Die Zyklenprüfung verglich generierte Zielreferenzen statt der ursprünglichen Quellreferenzen, weshalb manche Zyklen nicht erkannt wurden. Ein Angreifer, der eine solche Datei von einer Anwendung mit pypdf verarbeiten lassen kann, kann die CPU des Worker-Prozesses ausschöpfen, was zu einem Hänger oder einer Beeinträchtigung des Dienstes führt. Vertraulichkeit und Integrität sind nicht betroffen, und keine Authentifizierung ist nötig, wenn die Anwendung PDF-Dateien von extern annimmt.
py-pdf · pypdf
pypdf-Versionen vor 6.21.4 können übermässig viel Speicher verbrauchen, wenn ein manipuliertes PDF mit einem Seitenbaum verarbeitet wird, der viele gemeinsam genutzte Ressourcen enthält. Beim Abflachen des Seitenbaums werden Seiteneinträge ohne dokumentweites Limit kopiert, sodass eine einzelne Datei unverhältnismässig grosse Speicherzuweisungen auslösen kann. Ein Angreifer, der eine solche PDF-Datei von einer Anwendung verarbeiten lassen kann, kann einen Denial-of-Service auslösen (abgestürzter oder verlangsamter Prozess); Daten werden weder offengelegt noch verändert, und der Angriff erfordert keine Berechtigungen, aber dass ein Benutzer oder eine Anwendung die Datei verarbeitet.
py-pdf · pypdf
pypdf, eine rein in Python implementierte Bibliothek zum Lesen und Verarbeiten von PDF-Dateien, kann in eine Endlosschleife geraten, wenn sie eine manipulierte, unvollständige PDF-Datei öffnet, deren standardmässige Querverweistabelle das Dateiende ohne Trailer erreicht. Der Verarbeitungsthread wird dadurch blockiert, was die Anwendung, die die Bibliothek nutzt, in ihrer Verfügbarkeit beeinträchtigt. Voraussetzung ist, dass eine Anwendung eine solche Datei öffnet, beispielsweise eine vom Benutzer hochgeladene Datei, und die Auswirkung beschränkt sich auf die Verfügbarkeit.
py-pdf · pypdf
pypdf, eine rein in Python implementierte PDF-Bibliothek, ist von einer unvollständigen Korrektur eines früheren Problems (GHSA-55h5-xmcq-c37v) betroffen. Manipulierte Cross-Reference-Streams mit wiederholt fehlerhaften Einträgen können bei jedem Wiederherstellungsversuch ein vollständiges Neuladen des PDF-Streams erzwingen, auch wenn ein Wiederherstellungs-Cache vorhanden ist. Ein Angreifer kann mit einem präparierten PDF sehr lange Verarbeitungszeiten auslösen, was zu einem Denial of Service führt; Vertraulichkeit und Integrität sind nicht betroffen. Voraussetzung ist, dass eine Anwendung das nicht vertrauenswürdige PDF verarbeitet und laut CVSS-Vektor eine Benutzerinteraktion erfolgt.
py-pdf · pypdf
pypdf vor 6.21.2 begrenzt die deklarierte Eintragsanzahl standardmässiger Cross-Reference-Tabellen nicht ausreichend. Ein Angreifer kann ein PDF erstellen, dessen xref-Tabelle mehr Einträge deklariert, als die Datei enthalten kann. Beim Öffnen der Datei führt dies zu übermässiger Verarbeitung und langen Laufzeiten. Das Problem betrifft nur die Verfügbarkeit; es werden keine Auswirkungen auf Vertraulichkeit oder Integrität angegeben. Für die Ausnutzung muss eine Person oder eine automatisierte Verarbeitung die manipulierte Datei öffnen.
py-pdf · pypdf
pypdf ist eine rein in Python implementierte PDF-Bibliothek, die häufig in Anwendungen zur Verarbeitung von PDF-Dateien eingebettet wird. Vor Version 6.21.2 führt eine präparierte PDF-Datei, die wiederholt auf dasselbe nicht vorhandene indirekte Objekt verweist, beim Zugriff auf Seiten oder andere Teile zu wiederholten vollständigen Wiederherstellungsvorgängen der Datei. Ein Angreifer, der einem PDF-verarbeitenden Dienst eine solche Datei zuführen kann, kann sehr lange Laufzeiten verursachen und hauptsächlich Worker-Threads oder -Prozesse blockieren (Denial of Service).
py-pdf · pypdf
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
pypdf, eine rein in Python implementierte Bibliothek zum Lesen und Verarbeiten von PDF-Dateien, begrenzt die Länge alphabetischer Seitenbeschriftungen nicht. Ein präpariertes PDF mit ungewöhnlich grossen alphabetischen Beschriftungswerten kann dazu führen, dass beim Auslesen der Seitenbeschriftungen sehr lange Zeichenketten erzeugt werden, was übermässig viel Speicher verbraucht. Ein Angreifer, der einer Anwendung, die Seitenbeschriftungen liest, ein PDF übergeben kann, kann die Anwendung dadurch verlangsamen oder unverfügbar machen; Vertraulichkeit und Integrität sind nicht betroffen.
py-pdf · pypdf
pypdf ist eine reine Python-Bibliothek zum Lesen und Verarbeiten von PDF-Dateien. Vor Version 6.17.0 führt eine manipulierte PDF-Datei mit ungewöhnlich grossen römischen Seitenzahlen dazu, dass pypdf beim Abrufen der Seitenbeschriftungen übermässig lange Zahlzeichenfolgen erzeugt. Ein Angreifer kann dadurch den Arbeitsspeicher erschöpfen und die verarbeitende Anwendung unverfügbar machen (Denial of Service). Voraussetzung ist, dass die Anwendung die manipulierte PDF-Datei verarbeitet und deren Seitenbeschriftungen abruft.
py-pdf · pypdf
