CVE-2023-35936

Pandoc, bir işaretleme formatını diğerine dönüştürmek için kullanılan bir Haskell kütüphanesi ve bu kütüphaneyi kullanan bir komut satırı aracıdır. Versiyon 1.13'ten başlayarak versiyon 3.1.4 öncesine kadar olan sürümlerde Pandoc, `--extract-media` seçeneği kullanılarak dosya oluşturulurken veya PDF formatında çıktı alınırken girdiyle birlikte özel olarak hazırlanmış bir görüntü öğesi sağlanmasıyla tetiklenebilen rastgele dosya yazma zafiyetine karşı hassastır. Bu zafiyet, saldırganın pandoc'u çalıştıran işlemin yetkilerine bağlı olarak sistemde rastgele dosyalar oluşturmasına veya mevcut dosyaların üzerine yazmasına olanak tanır. Zafiyet yalnızca güvenilmeyen kullanıcı girdilerini pandoc'a aktaran ve pandoc'un PDF üretmek veya `--extract-media` seçeneğini kullanmak için kullanılmasına izin veren sistemleri etkiler. Çözüm, kaynağın çalışma dizininin üzerinde olmadığının kontrol edilmesinden ve uzantı çıkarılmadan önce yüzde kodlamasının (percent-encoding) çözülmesidir. Yolun çalışma dizininin altında olduğunu kontrol eden bazı kodlar da benzer şekilde hatalıydı ve bunlar da düzeltildi. Yalnızca okuyucular ve yazıcıların gerçekleştirdiği G/Ç işlemlerini etkileyen `--sandbox` seçeneğinin bu zafiyeti engellemediğine dikkat edilmelidir. Zafiyet pandoc 3.1.4 sürümünde yamalanmıştır. Geçici çözüm olarak, pandoc komutu denetlenmeli; PDF çıktısı ve `--extract-media` seçeneği yasaklanmalıdır.