CVE-2024-4367: esecuzione di codice in PDF.js

CVE-2024-4367 è una vulnerabilità di esecuzione di codice arbitrario in PDF.js (componente di Mozilla per la visualizzazione PDF). Una mancanza di controllo di tipo durante l'elaborazione dei font consente l'esecuzione di JavaScript arbitrario nel contesto PDF.js. Colpisce Firefox <126, Firefox ESR <115.11 e Thunderbird <115.11.

Il punteggio CVSS per CVE-2024-4367 è 8,8 (HIGH). La vulnerabilità è stata pubblicata da NVD il 14 maggio 2024. Ad oggi esiste un repository pubblico che dichiara di contenere una dimostrazione di exploit (PoC), segnale che la falla è disponibile in forma fruibile dagli attaccanti. Le patch correttive sono state rilasciate da Mozilla a maggio 2024.

Per gli amministratori IT, è prioritario verificare e distribuire gli aggiornamenti di Firefox, Firefox ESR e Thunderbird alle versioni 126, 115.11 o successive. Con un PoC pubblico disponibile, il rischio di exploit è elevato. Implementare patching urgente, verificare accessi sospetti a PDF nei sistemi e considerare di disabilitare temporaneamente la visualizzazione di PDF non verificati. Monitorare i log per segnali di esecuzione di codice anomalo correlato a PDF.