不適切な入力検証とコードインジェクションにおける脆弱性 (pdf-image)

この脆弱性は、攻撃者がサーバー上で任意のコードを実行することを可能にする重大なセキュリティリスクをもたらします。攻撃者は、悪意のあるPDFファイルをアップロードしたり、既存のPDFファイルを改ざんしたりすることで、システムへのアクセス権を取得し、機密情報を盗み出し、マルウェアをインストールしたり、他のシステムへの攻撃を開始したりする可能性があります。この脆弱性は、特にPDFファイルを処理するアプリケーションやサービスをホストしているシステムにとって深刻な脅威となります。攻撃者は、この脆弱性を利用して、システム全体を制御下に置く可能性があります。

Applications built with Node.js that utilize the pdf-image package to process PDF files, particularly those that accept PDF files from untrusted sources, are at significant risk. Shared hosting environments where multiple applications share the same Node.js installation are also vulnerable, as a compromise in one application could affect others.

• nodejs / supply-chain:

Get-Process -Name node | Select-Object -ExpandProperty Path

• nodejs / supply-chain:

Get-ChildItem -Path Env:NODE_PATH -Recurse -Filter pdf-image* | Select-Object -ExpandProperty FullName

• generic web: Inspect Node.js application logs for unusual file access patterns or errors related to PDF processing. Look for attempts to access files outside of expected directories.

1. 2020-12-17Discovery

   discovery

2. 2021-05-10Disclosure

   disclosure

3. 2021-05-10Patch

   patch

1. 予約済み2020-01-28
2. 公開日2021-05-10
3. 更新日2023-11-08
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、pdf-image npmパッケージをバージョン2.1.0以上にアップグレードすることです。アップグレードがすぐに実行できない場合は、信頼できないソースからのPDFファイルの処理を制限するなどの回避策を講じることができます。また、WAF（Web Application Firewall）を使用して、悪意のあるPDFファイルがサーバーに到達するのを防ぐことも有効です。PDFファイルパスの構築にユーザー入力を直接使用しないように設計を見直すことも重要です。