Eine Schwachstelle in WeasyPrint, einen beliebter Open Source HTML zu PDF Converter, erlaubt es Nutzern Schadcode an generierte PDF Dateien anzuhängen. Am 8. März 2024 veröffentlichte WeasyPrint auf seinem Github Account eine Security Advisory, die vor der kritischen Sicherheitslücke (CVE-2024-28184) warnt. Diese ermöglicht das Anhängen von Inhalten aus beliebigen Dateien und URLs in ein generiertes PDF-Dokument, selbst wenn der url_fetcher so konfiguriert ist, dass er den Zugriff auf Dateien und URLs verhindert.
WeasyPrint ist ein beliebtes Open Source Tool zum erstellen von PDF Dateien aus HTML Vorlagen und wird vor allem auf Webplattformen und Cloud-Microservices eingesetzt, die in Python oder Ruby programmiert worden sind.
Besonders gefährdet sind Systeme, die WeasyPrint nutzen, Nutzerbasiert dynamisch Inhalte aus nicht vertrauenswürdigen oder unsicheren Quellen in PDFs einzubetten. Die Sicherheitslücke betrifft WeasyPrint ab Version 61.0. Plattformbetreiber werden dringend aufgefordert, auf die neueste Version 61.2 zu aktualisieren, in der dieses Problem behoben wurde.
Ähnliche Beiträge:
Professionelle Hilfe erwünscht?
Sentiguard ist spezialisiert auf Notfallhilfe nach Cyberattacken, IT Sicherheitsbeauftragte und IT Sicherheitskonzepte nach BSI Standard. Haben Sie Fragen und wünschen Sie unverbindliche Beratung, dann melden Sie sich gerne bei uns: