La crise de sécurité CVE-2022-35583

La vulnérabilité Server-Side Request Forgery (SSRF) danswkhtmltopdfpermet aux attaquants de :

• Accéder aux services internes : Accéder aux API, bases de données et services internes derrière les pare-feux
• Steal Credentials : Accéder aux points d'extrémité des métadonnées du nuage (AWS, GCP, Azure) pour voler les informations d'identification IAM
• Port Scanning : analyse des réseaux internes à partir de l'infrastructure
• Data Exfiltration : Extraction de données sensibles à l'aide de HTML/CSS élaborés

Le vecteur d'attaque est simple : du HTML malveillant soumis à un générateur de PDF :

<!-- Malicious HTML submitted to your PDF generator -->
<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

<!-- Malicious HTML submitted to your PDF generator -->
<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

Lorsquewkhtmltopdfrend ce HTML, il récupère ces URL à partir du contexte réseau du serveur, en contournant les pare-feu et les contrôles de sécurité. Cette vulnérabilité ne sera jamais corrigée car le projet a été officiellement abandonné.

Bibliothèques Wrapper affectées

Tous les wrappers .NET pourwkhtmltopdfhéritent des mêmes vulnérabilités :

Si votre application utilise l'une de ces bibliothèques, elle est vulnérable à la CVE-2022-35583.

wkhtmltopdfModèle de configuration

les wrapperswkhtmltopdfnécessitent la création d'objets document avec des configurations de paramètres imbriqués :

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

Ce modèle nécessite la création d'un SynchronizedConverteravec PdfTools, la construction d'un HtmlToPdfDocumentavec des collections GlobalSettings et Objects, et l'écriture manuelle de tableaux d'octets dans des fichiers.

Modèle simplifié d'IronPDF

IronPDF utilise une approche rationalisée avec la classe ChromePdfRenderer:

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

La classe ChromePdfRenderer élimine les objets de configuration imbriqués, renvoyant un PdfDocument avec des méthodes d'enregistrement intégrées. Pour obtenir des conseils complets sur la conversion HTML, consultez le tutoriel HTML au PDF.

wkhtmltopdfImplementation

wkhtmltopdf utilise la propriété Page dans ObjectSettings pour spécifier des URL :

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

Mise en œuvre IronPDF

IronPDF fournit une méthode RenderUrlAsPdf dédiée :

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

La méthode RenderUrlAsPdf s'appuie sur le moteur Chromium pour rendre les pages avec une exécution complète de JavaScriptet un support CSS moderne - des capacités limitées par le moteur WebKit 2015 d'IronPDF.

wkhtmltopdfParamètres personnalisés

wkhtmltopdf nécessite des objets GlobalSettings imbriqués avec des objets MarginSettings :

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
                Orientation= Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

Paramètres personnalisés d'IronPDF

IronPDF utilise les propriétés Options de rendupour une configuration directe :

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

Mappage de l'API C# vers C

Mappage de l'API du wrapper C

Mappage de la syntaxe des caractères de remplacement

Exigences de conformité en matière de sécurité

Les organisations soumises à des exigences de conformité en matière de sécurité (SOC 2, PCI DSS, HIPAA) ne peuvent pas accepter des applications présentant des vulnérabilités critiques connues. L'indice de gravité 9.8 de la CVE-2022-35583 déclenche des exigences de remédiation immédiate dans la plupart des cadres de sécurité.

Adoption d'un cadre CSS moderne

Les équipes qui adoptent Bootstrap 5, Tailwind CSS ou des mises en page CSS Grid personnalisées constatent quewkhtmltopdfne peut pas les restituer correctement. Le moteur WebKit 2015 ne prend pas du tout en charge les grilles CSS et ne met pas en œuvre Flexbox.

Exigences de l'application JavaScript

Les applications utilisant des fonctionnalités JavaScriptmodernes (syntaxe ES6+, y compris les fonctions fléchées, async/await, les classes et les littéraux de modèle) connaissent des défaillances dans wkhtmltopdf. Le moteur Chromium d'IronPDF assure une prise en charge complète de JavaScript.

Déploiement de nuages et de conteneurs

Les stratégies de déploiement modernes utilisant Docker, Kubernetes ou des plateformes cloud bénéficient de l'architecture d'IronPDF adaptée aux conteneurs. Les analyses de sécurité des binaireswkhtmltopdfdans les conteneurs signaleront la vulnérabilité CVE.

Préoccupations relatives à la maintenance à long terme

Aucune mise à jour n'étant prévue pour wkhtmltopdf, les équipes sont confrontées à une dette technique croissante au fur et à mesure de l'évolution des standards du web. Le développement actif d'IronPDF garantit une compatibilité continue avec les futures versions de .NET, notamment .NET 10 attendu pour 2026.

Support asynchrone

IronPDF fournit un support async/await pour la performance des applications web :

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

Cela permet d'éviter le blocage des threads dans les applications web à forte charge, une capacité qui n'est pas disponible avec les wrappers synchrones de wkhtmltopdf.