Een kwetsbaarheid in DjVuLibre maakt het mogelijk om code op Linux-desktops uit te voeren als gebruikers een geprepareerd document openen. Dat laat het GitHub Security Lab team weten dat het probleem ontdekte en rapporteerde. Er is gisteren een update uitgebracht waarin het lek is verholpen.

DjVu is een bestandsformaat dat voornamelijk wordt gebruikt voor ingescande documenten. Het is enigszins vergelijkbaar met pdf. DjVuLibre is een GPL-implementatie van DjVu. Evince en Papers, de standaard document viewers op veel Linux-distributies, ondersteunen DjVu. Wanneer een DjVu-bestand een .pdf-extensie heeft zullen Evince en Papers automatisch detecteren dat het in werkelijkheid om een DjVu-bestand gaat en die vervolgens via DjVuLibre weergeven.

Een kwetsbaarheid in de DjVu-libre kan tot een Out-of-bounds Write leiden, waardoor het uitvoeren van code op het systeem mogelijk is. Een aanvaller zou hier misbruik van kunnen maken door een doelwit een .pdf-bestand te sturen dat in werkelijkheid een DjVu-bestand is. Wanneer de gebruiker het bestand opent zal de document viewer die via DjVuLibre willen weergeven, waarna de code van de aanvallers op het systeem wordt uitgevoerd.

De onderzoekers van het GitHub Security Lab team ontwikkelden een proof-of-concept exploit waarin ze de kwetsbaarheid demonstreren. Nadat de gebruiker het document opent wordt via Google Chrome een YouTube-pagina geladen. De onderzoekers merken op dat dit eenvoudiger was dan het starten van calculator, wat bij veel proof-of-concept exploits wordt gedaan. Ze leggen uit dat dit heeft te maken met het AppArmor profile van Papers, waardoor het geen willekeurige processen kan starten.

Er is echter een uitzondering voor Google Chrome, waardoor de browser kan worden gestart. "Maar het AppArmor profile is niet heel erg restrictief, het laat je willekeurige bestanden naar de home directory van de gebruiker schrijven, behalve voor de hand liggende zoals ~/.bashrc. Dus het zou een vastbesloten aanvaller niet weerhouden van het uitvoeren van code", aldus de onderzoekers. Die rapporteerden het probleem (CVE-2025-53367) op 1 juli aan de ontwikkelaars van DjVuLibre. Die kwamen op 3 juli met versie 3.5.29 waarin het probleem is verholpen.