Tungsten Automation Power PDF中CVE-2024-9732等漏洞
Tungsten PowerPDF是一款以直观设计、强大安全性和高性价比著称的pdf编辑工具，采用类似 Office 界面，支持跨设备和平台实时协作。
一、基本情况
Tungsten PowerPDF支持创建、编辑、转换pdf文件成word、excel、ppt、jpg和html格式，通过强密码加密和基于证书安全机制保护文档。
栋科技漏洞库关注到Tungsten PowerPDF中的多个漏洞，追踪为CVE-2024-9732至CVE-2024-9755；CVE-2024-9757至CVE-2024-9763。
追踪：CVE-2024-9732、CVE-2024-9733、CVE-2024-9734、CVE-2024-9735、CVE-2024-9736、CVE-2024-9737、CVE-2024-9738；
追踪：CVE-2024-9739、CVE-2024-9740、CVE-2024-9741、CVE-2024-9742、CVE-2024-9743、CVE-2024-9744、CVE-2024-9745；
追踪：CVE-2024-9746、CVE-2024-9747、CVE-2024-9748、CVE-2024-9749、CVE-2024-9750、CVE-2024-9751、CVE-2024-9752；
追踪：CVE-2024-9753、CVE-2024-9754、CVE-2024-9755、CVE-2024-9757、CVE-2024-9758、CVE-2024-9759、CVE-2024-9760；
追踪：CVE-2024-9761、CVE-2024-9762、CVE-2024-9763，漏洞总计数量31个。
二、漏洞分析
CVE-2024-9732
CVE-2024-9732是Tungsten Automation Power PDF中存在的一个 XPS 文件解析释放后使用远程代码执行漏洞，该漏洞CVSS评分为7.8。
该漏洞源于在执行操作之前未验证对象是否存在而导致，允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码。
该漏洞存在于XPS文件解析过程中，可能导致攻击者利用在当前进程上下文中执行代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9733
CVE-2024-9733是Tungsten Automation Power PDF中存在的一个 PDF 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的缺乏适当验证的数据，这可能导致写入超过已分配对象的末尾的情况，具体的漏洞存在于XPS文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9734
CVE-2024-9734是Tungsten Automation Power PDF中存在的一个 PDF 文件解析基于堆的缓冲区溢出远程代码执行漏洞，CVSS评分7.8。
漏洞源于对用户提供数据进行复制前未对数据长度进行适当验证，这些数据会被复制到固定长度的堆缓冲区中，位于JPF文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9735
CVE-2024-9735是Tungsten Automation Power PDF中存在的一个 JPF 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供数据验证不当可能导致写入超过已分配对象的末尾，漏洞具体存在于JPF文件解析过程中，导致上下文中执行代码。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9736
CVE-2024-9736是Tungsten Automation Power PDF中存在的一个 PDF 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的数据缺乏适当的验证，这可能会导致写入操作超出已分配缓冲区的范围，具体漏洞存在于PDF文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9737
CVE-2024-9737是Tungsten Automation Power PDF中存在的一个 PDF 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供数据验证不足可能导致写入操作超出已分配对象的末尾，漏洞存在于PDF文件解析过程中，导致上下文中执行代码。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9738
CVE-2024-9738是Tungsten Automation Power PDF中存在的一个 PDF 文件解析内存损坏远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致内存损坏，具体漏洞存在于PDF文件解析过程中，导致上下文中执行代码。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9739
CVE-2024-9739是Tungsten Automation Power PDF中存在的一个 PDF 文件解析内存损坏远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致内存损坏，具体漏洞存在于PDF文件解析过程中，导致上下文中执行代码。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9740
CVE-2024-9740是Tungsten Automation Power PDF 中存在的一个BMP 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致写入操作超出已分配对象的末尾，具体漏洞存在于BMP文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9741
CVE-2024-9741是Tungsten Automation Power PDF中的 PDF 文件解析基于堆的缓冲区溢出远程代码执行漏洞，该漏洞CVSS评分为7.8。
该漏洞源于在将数据复制到基于堆的固定长度缓冲区之前，没有对用户提供的数据进行适当的长度验证，漏洞存在于PDF文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9742
CVE-2024-9742是Tungsten Automation Power PDF中的PSD文件解析基于堆的缓冲区溢出远程代码执行漏洞，该漏洞CVSS评分为7.8。
该漏洞源于在将数据复制到基于堆的固定长度缓冲区前，没有对用户提供的数据进行适当的长度验证，漏洞存在于PDF文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9743
CVE-2024-9743是Tungsten Automation Power PDF中的PDF文件解析基于堆的缓冲区溢出远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于在将数据复制到基于堆的固定长度缓冲区前，没有对用户提供的数据进行适当的长度验证，漏洞存在于PDF文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9744
CVE-2024-9744是Tungsten Automation Power PDF 中存在的一个JP2 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的数据的验证不当，可能导致写入操作超出已分配缓冲区的末尾，具体来说，漏洞存在于JP2文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9745
CVE-2024-9745是Tungsten Automation Power PDF中的 TIF 文件解析基于堆栈的缓冲区溢出远程代码执行漏洞，该漏洞CVSS评分为7.8。
该漏洞源于在将数据复制到基于固定长度的栈缓冲区之前未对用户提供的数据进行适当长度验证，具体漏洞存在于TIF文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9746
CVE-2024-9746是Tungsten Automation Power PDF中存在的一个 TGA 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的数据的验证不当，这可能导致写入操作超出已分配缓冲区的末尾，具体来说，漏洞存在于TGA文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9747
CVE-2024-9747是Tungsten Automation Power PDF中存在的一个PSD 文件解析越界写入远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于用户提供的验证数据缺乏适当的验证，这可能导致写入操作超出已分配缓冲区的末尾，具体漏洞存在于PSD文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9748
CVE-2024-9748是Tungsten Automation Power PDF 中存在的一个XPS 文件解析释放后使用远程代码执行漏洞，该漏洞CVSS评分为7.8。
该漏洞源于在对象上执行操作之前未验证对象是否存在，具体漏洞位于XPS文件解析过程中，攻击者可利用在当前进程上下文中执行代码。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9749
CVE-2024-9749是Tungsten Automation Power PDF中存在的一个 PDF文件解析越界读取信息泄露漏洞，不过该漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据验证不当可能导致读取超出已分配对象末尾，漏洞存在PDF文件的解析过程中，攻击者需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9750
CVE-2024-9750是Tungsten Automation Power PDF 中存在的一个PNG 文件解析越界读取远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致读取超过已分配对象的末尾，具体而言，漏洞存在于PNG文件解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9751
CVE-2024-9751是Tungsten Automation Power PDF中存在的一个 JP2 文件解析越界读取远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致读取已分配对象末尾之外的数据，具体漏洞存在于JP2文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9752
CVE-2024-9752是Tungsten Automation Power PDF中存在的一个 JPG 文件解析越界读取信息泄露漏洞，不过该漏洞的CVSS评分为3.3。
该漏洞源于对用户提供的缺乏适当验证数据，可能导致读取超出已分配对象的，漏洞存在JPG文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9753
CVE-2024-9753是Tungsten Automation Power PDF 中存在的一个PDF文件解析越界读取信息泄露漏洞，不过该漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据的验证不当，可能会导致读取超出已分配对象的末尾，漏洞存在PDF文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9754
CVE-2024-9754是Tungsten Automation Power PDF中存在的一个PDF文件解析越界读取信息泄露漏洞，不过这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据的验证不当，可能会导致读取超出已分配对象的末尾，漏洞存在PDF文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9755
CVE-2024-9755是Tungsten Automation Power PDF 中存在的一个JP2 文件解析越界读取远程代码执行漏洞，该漏洞的CVSS评分为7.8。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能会导致读取超出已分配对象的末尾，具体的漏洞存在于JP2文件的解析过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9757
CVE-2024-9757是Tungsten Automation Power PDF中存在的一个 JP2 文件解析越界读取信息泄露漏洞，但这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据的验证不当，可能导致读取超过已分配对象的末尾，漏洞存在 JP2文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9758
CVE-2024-9758是ungsten Automation Power PDF 中存在的一个AcroForm 注释越界读取信息泄露漏洞，但这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供的输入数据缺乏适当的验证，这可能导致读取超出已分配缓冲区末尾的情况，存在于处理Annotation对象的过程中。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9759
CVE-2024-9759是Tungsten Automation Power PDF中存在的一个 GIF 文件解析越界读取信息泄露漏洞，但这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供缺乏适当验证数据，可导致读取超过已分配缓冲区末尾，漏洞存在于GIF文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9760
CVE-2024-9760是Tungsten Automation Power PDF 中存在的一个PNG 文件解析越界读取信息泄露漏洞，但这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供缺乏适当验证数据，可导致读取超出已分配对象末尾，漏洞存在于PNG文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9761
CVE-2024-9761是Tungsten Automation Power PDF中存在的一个 PDF文件解析越界读取信息泄露漏洞，但这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据的验证不当，可导致读取超出已分配缓冲区的末尾，漏洞存在于PDF文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9762
CVE-2024-9762是Tungsten Automation Power PDF中存在的一个 OXPS 文件解析越界读取信息泄露漏洞，这一漏洞的CVSS评分为3.3。
该漏洞源于对用户提供数据验证不足，可能导致读取超出已分配对象的末尾，漏洞存在于OXPS文件解析过程中，需与其他漏洞结合利用。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
CVE-2024-9763
CVE-2024-9763是Tungsten Automation Power PDF中存在的一个 PDF文件解析越界读取信息泄露漏洞，不过该漏洞的CVSS评分为3.3。
该漏洞源于对用户提供缺乏适当验证数据，可能导致读取超出已分配对象的末尾，漏洞存在于OXPS文件解析过程中，需与其他漏洞结合。
该漏洞允许远程攻击者在安装了受影响版本Tungsten PowerPDF系统上执行任意代码，漏洞利用需用户与恶意页面交互或打开恶意文件。
三、漏洞影响
Tungsten Automation Power PDF < 5.1
四、修复建议
Tungsten Automation Power PDF >= 5.1
五、参考链接
https://esd.tungstenautomation.com/Registrations/ChooseLanguage