CVE-2022-35583セキュリティ危機

wkhtmltopdfのサーバサイドリクエストフォージェリ(SSRF)の脆弱性により、攻撃者は以下のことが可能になります：

• 内部サービスへのアクセス：ファイアウォールの背後にある内部API、データベース、サービスにアクセスする。
• 認証情報を盗む：クラウドメタデータエンドポイント (AWS、GCP、Azure) にアクセスして IAM クレデンシャルを盗む。
• ポートスキャン: インフラストラクチャ内から内部ネットワークをスキャンします。
• データ流出：HTML/CSSを細工して機密データを取り出す

攻撃ベクトルは単純で、悪意のある HTML を PDF ジェネレーターに送信するものです：

<!-- Malicious HTML submitted to your PDF generator -->
<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

<!-- Malicious HTML submitted to your PDF generator -->
<iframe src="http://169.254.169.254/latest/meta-data/iam/security-credentials/"></iframe>
<img src="http://internal-database:5432/admin"/>

wkhtmltopdfがこのHTMLをレンダリングする際、ファイアウォールやセキュリティコントロールをバイパスして、サーバーのネットワークコンテキストからこれらのURLを取得します。 プロジェクトが正式に放棄されたため、この脆弱性にパッチが適用されることはありません。

影響を受けるラッパー・ライブラリについて

wkhtmltopdfのすべての.NETラッパーは、同じ脆弱性を継承します：

あなたのアプリケーションがこれらのライブラリのいずれかを使用している場合、CVE-2022-35583 の脆弱性があります。

wkhtmltopdf構成パターン

wkhtmltopdfラッパーは、ネスト化された設定コンフィギュレーションを持つドキュメントオブジェクトを作成する必要があります：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    HtmlContent = "<h1>Hello World</h1><p>This is a PDF from HTML.</p>"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("output.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

このパターンでは、PdfToolsでSynchronizedConverterを作成し、GlobalSettingsとObjectsコレクションでHtmlToPdfDocumentを構築し、手作業でバイト配列をファイルに書き込む必要があります。

IronPDF簡易パターン

IronPdfはChromePdfRendererクラスで合理的なアプローチを使用しています：

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderHtmlAsPdf("<h1>Hello World</h1><p>This is a PDF from HTML.</p>");
        pdf.SaveAs("output.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

ChromePdfRendererクラスはネストした設定オブジェクトを排除し、組み込みの保存メソッドを持つPdfDocumentを返します。 包括的なHTML変換ガイダンスについては、HTML to PDFチュートリアルをご覧ください。

wkhtmltopdfの実装

wkhtmltopdfは、ObjectSettings内のPageプロパティを使用してURLを指定します：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Portrait,
                PaperSize = PaperKind.A4
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "https://www.example.com"
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("webpage.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

IronPDFの実装

IronPDFは専用のRenderUrlAsPdfメソッドを提供します：

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        var pdf = renderer.RenderUrlAsPdf("https://www.example.com");
        pdf.SaveAs("webpage.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

RenderUrlAsPdfメソッドは、Chromiumエンジンを活用して、完全なJavaScriptの実行とモダンなCSSサポート-wkhtmltopdfの2015 WebKitエンジンによって制限された機能-でページをレンダリングします。

wkhtmltopdfのカスタム設定

wkhtmltopdfは、MarginSettingsオブジェクトとネストされたGlobalSettingsを必要とします：

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

// NuGet: Install-Package WkHtmlToPdf-DotNet
using WkHtmlToPdfDotNet;
using WkHtmlToPdfDotNet.Contracts;
using System.IO;

class Program
{
    static void Main()
    {
        var converter = new SynchronizedConverter(new PdfTools());
        var doc = new HtmlToPdfDocument()
        {
            GlobalSettings = {
                ColorMode = ColorMode.Color,
               オリエンテーション= Orientation.Landscape,
                PaperSize = PaperKind.A4,
                Margins = new MarginSettings() { Top = 10, Bottom = 10, Left = 10, Right = 10 }
            },
            Objects = {
                new ObjectSettings()
                {
                    Page = "input.html",
                    WebSettings = { DefaultEncoding = "utf-8" }
                }
            }
        };
        byte[] pdf = converter.Convert(doc);
        File.WriteAllBytes("custom-output.pdf", pdf);
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

IronPDFカスタム設定

IronPDFは直接設定するためにRenderingOptionsプロパティを使用します：

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

// NuGet: Install-Package IronPdf
using IronPdf;
using IronPdf.Rendering;
using System;

class Program
{
    static void Main()
    {
        var renderer = new ChromePdfRenderer();
        renderer.RenderingOptions.PaperOrientation = PdfPaperOrientation.Landscape;
        renderer.RenderingOptions.MarginTop = 10;
        renderer.RenderingOptions.MarginBottom = 10;
        renderer.RenderingOptions.MarginLeft = 10;
        renderer.RenderingOptions.MarginRight = 10;
        renderer.RenderingOptions.PaperSize = PdfPaperSize.A4;

        var pdf = renderer.RenderHtmlFileAsPdf("input.html");
        pdf.SaveAs("custom-output.pdf");
    }
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

CLI から C# API へのマッピング。

C#ラッパーAPIマッピング

プレースホルダーの構文マッピング

チームがwkhtmltopdfからIronPDFへの移行を検討するとき

開発チームがwkhtmltopdfの代替としてIronPDFを評価するシナリオはよくあります：

セキュリティ コンプライアンスの要件

セキュリティコンプライアンス要件（SOC 2、PCI DSS、HIPAA）を満たす組織は、既知の重大な脆弱性を持つアプリケーションを受け入れることはできません。 CVE-2022-35583の深刻度は9.8であり、ほとんどのセキュリティフレームワークにおいて、早急な改善が要求されます。

最新の CSS フレームワークの採用

Bootstrap 5、Tailwind CSS、またはカスタムCSSグリッドレイアウトを採用しているチームは、wkhtmltopdfがこれらを正しくレンダリングできないことがわかります。 2015年のWebKitエンジンは、CSSグリッドのサポートを完全に欠いており、Flexboxの実装が壊れています。

JavaScriptアプリケーションの要件

最新のJavaScript機能（arrow関数、async/await、クラス、テンプレートリテラルなど、ES6+の構文）を使用するアプリケーションでは、wkhtmltopdfの不具合が発生します。 IronPdfのChromiumエンジンはJavaScriptを完全にサポートします。

クラウドとコンテナのデプロイ

Docker、Kubernetes、またはクラウドプラットフォームを使用した最新のデプロイ戦略は、IronPdfのコンテナフレンドリーアーキテクチャの恩恵を受けます。 コンテナ内のwkhtmltopdfバイナリのセキュリティスキャンは、CVE脆弱性にフラグを立てます。

長期的なメンテナンスの懸念

wkhtmltopdfには将来的なアップデートが期待されていないため、ウェブ標準の進化に伴い、チームは技術的な負債を抱えることになります。 IronPDFの積極的な開発により、2026年に予定されている.NET 10を含む将来の.NETバージョンとの継続的な互換性が保証されます。

非同期サポート

IronPdfはウェブアプリケーションのパフォーマンスのために非同期/待機サポートを提供します：

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

public async Task<byte[]> GeneratePdfAsync(string html)
{
    var renderer = new ChromePdfRenderer();
    var pdf = await renderer.RenderHtmlAsPdfAsync(html);
    return pdf.BinaryData;
}

IRON VB CONVERTER ERROR developers@ironsoftware.com

これは、wkhtmltopdfの同期のみのラッパーでは利用できない機能です。