CVE-2025-64512分析,从PDF对象树到RCE#

捉襟见肘，对于pdf安全问题，直接的pdf是没有什么威胁的，造就一个事物有没有威胁要看自己的原生库是

怎么对其进行加载的。接下来会说明一些有关PDF的数据结构

整个PDF的结构可以类似于一个对象树，很多时候可以相互引用

比如说入口是

1
1 0 obj
2
<<
3
  /Type /Catalog
4
  /Pages 2 0 R
5
>>
6
endobj

这里就是1对象，并且说明了/Page的值位于2对象，后面跟的0代表版本，这个版本多数是用于pdf更新之后

的引用

1
5 0 obj
2
<<
3
  /Type /Font
4
  /Subtype /Type1
5
  /BaseFont /Helvetica
6
>>
7
endobj

字体对象，如果说要引用，那就在其他对象引用对象5

因为对于对象嵌套，数据流压缩,对象流压缩的宽容度很大，这里看python的pdfminer对于其的处理

看看在pdfminer的前些版本，对于字体的Cmap处理

Cmap是映射表，当发现对于/Encoding的值，是可以当作路径去load的，看看逻辑

1
def _load_data(cls, name: str) -> Any:
2
        name = name.replace("\0", "")
3
        filename = "%s.pickle.gz" % name
4
        log.debug("loading: %r", name)
5
        cmap_paths = (
6
            os.environ.get("CMAP_PATH", "/usr/share/pdfminer/"),
7
            os.path.join(os.path.dirname(__file__), "cmap"),
8
        )
9
        for directory in cmap_paths:
10
            path = os.path.join(directory, filename)
11
            if os.path.exists(path):
12
                gzfile = gzip.open(path)
13
                try:
14
                    return type(str(name), (), pickle.loads(gzfile.read()))
15
                finally:
16
                    gzfile.close()
17
        raise CMapDB.CMapNotFound(name)

可以看出cmap_paths是可信的，在environ，但是filename貌似是直接拼字段，追溯下

1
def get_cmap_from_spec(self, spec: Mapping[str, Any], strict: bool) -> CMapBase:
2
        """Get cmap from font specification
3

4
        For certain PDFs, Encoding Type isn't mentioned as an attribute of
5
        Encoding but as an attribute of CMapName, where CMapName is an
6
        attribute of spec['Encoding'].
7
        The horizontal/vertical modes are mentioned with different name
8
        such as 'DLIdent-H/V','OneByteIdentityH/V','Identity-H/V'.
9
        """
10
        cmap_name = self._get_cmap_name(spec, strict)
11

12
        try:
13
            return CMapDB.get_cmap(cmap_name)
14
        except CMapDB.CMapNotFound as e:
15
            if strict:
16
                raise PDFFontError(e)
17
            return CMap()

cmap_name也就是name的规范化

1
def _get_cmap_name(spec: Mapping[str, Any], strict: bool) -> str:
2
        """Get cmap name from font specification"""
3
        cmap_name = "unknown"  # default value
4

5
        try:
6
            spec_encoding = spec["Encoding"]
7
            if hasattr(spec_encoding, "name"):
8
                cmap_name = literal_name(spec["Encoding"])
9
            else:
10
                cmap_name = literal_name(spec_encoding["CMapName"])
11
        except KeyError:
12
            if strict:
13
                raise PDFFontError("Encoding is unspecified")
14

15
        if type(cmap_name) is PDFStream:  # type: ignore[comparison-overlap]
16
            cmap_name_stream: PDFStream = cast(PDFStream, cmap_name)
17
            if "CMapName" in cmap_name_stream:
18
                cmap_name = cmap_name_stream.get("CMapName").name
19
            elif strict:
20
                raise PDFFontError("CMapName unspecified for encoding")
21

22
        return IDENTITY_ENCODER.get(cmap_name, cmap_name)

对于encoding的值，可以看看对于其的取值逻辑

其中name就是传入的/Encoding 的值，这两个分支分别代表了原始对象以及复合对象，

并且spec是在最开始PDF进入时就init加载的，于是便可以进行代码执行了

以上