CVE-2009-3459

Falha de heap-based buffer overflow no parser de PDF do Adobe Reader e Acrobat, explorada ativamente in the wild a partir de outubro de 2009 antes mesmo da correção estar disponível. Um PDF malicioso corrompe memória no processo do leitor e permite execução de código arbitrário com os privilégios do usuário que abriu o arquivo — é a vulnerabilidade clássica que popularizou o PDF como vetor de infecção em campanhas de phishing daquela época.

A falha é um heap-based buffer overflow (CWE-119/CWE-122) no motor de parsing de PDF do Adobe Reader/Acrobat. O parser processa estruturas dentro do arquivo PDF sem validar corretamente tamanhos ou limites antes de copiar dados para um buffer alocado no heap, permitindo que um atacante controle o conteúdo do PDF de forma a sobrescrever regiões adjacentes de memória. A descrição oficial e o boletim da Adobe (APSB09-15) não detalham o campo ou elemento exato da especificação PDF explorado — isso é atribuído a terceiros ('some of these details are obtained from third party information'), o que sugere que a análise técnica completa nunca foi publicada pela Adobe com granularidade suficiente para reprodução independente segura.

O que se sabe com certeza: o atacante controla integralmente o conteúdo do arquivo PDF entregue à vítima, e a corrupção de heap ocorre durante o processamento normal do documento pelo próprio Reader/Acrobat, sem exigir que a vítima interaja com conteúdo ativo além de abrir o arquivo. O CWE catalogado pela CISA no KEV é CWE-119 (violação de limites de buffer em geral), reforçando que se trata de um overflow clássico de memória, não de uma falha lógica ou de validação de assinatura.

A falha atinge três ramos de versão simultaneamente (7.x, 8.x e 9.x), o que indica um componente de parsing compartilhado entre as linhas de produto — comportamento típico do código legado de renderização de PDF da Adobe que persistia através de major versions.

O vetor é a entrega de um arquivo PDF malicioso à vítima — por e-mail como anexo ou hospedado em página web. O único pré-requisito de interação é abrir o documento; no cenário mais grave, o plugin de navegador do Adobe Reader (instalado por padrão em muitas configurações da época) abria PDFs automaticamente ao acessar uma URL, eliminando até o clique explícito de 'abrir arquivo' e reduzindo a interação da vítima a visitar uma página comprometida ou clicar em um link.

Não há elevação de privilégio nem acesso à rede como pré-condição — é execução de código local disparada remotamente via arquivo, sem autenticação de qualquer tipo. A CISA confirma exploração ativa in the wild já em outubro de 2009, antes da correção pública estar amplamente distribuída, e o CVE está no catálogo KEV da CISA por esse motivo. Existe módulo Metasploit e PoC pública documentados, o que elimina qualquer barreira de complexidade para reprodução hoje — a única razão para isso ainda importar é a presença residual de instalações legadas do Reader/Acrobat 7.x/8.x/9.x não atualizadas, algo raro mas não inexistente em sistemas isolados, industriais ou legados sem gestão de patch.

O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do usuário que abriu o PDF — controle total do processo do Reader, usado historicamente para instalar malware persistente na máquina da vítima.

A correção definitiva é atualizar para Adobe Reader/Acrobat 9.2, 8.1.7 ou 7.1.4, conforme o ramo em uso — essas são as versões que a Adobe publicou como corrigidas no boletim APSB09-15. Dado que os produtos originais e esses ramos de versão estão descontinuados há mais de uma década, o caminho real de mitigação hoje é migrar para uma versão atual e suportada do software de leitura de PDF, já que os binários específicos 7.1.4/8.1.7/9.2 não recebem mais suporte nem estão em canal de distribuição ativo.

Se a atualização imediata não for possível, os paliativos documentados pelo US-CERT (TA09-286B) reduzem mas não eliminam o risco: desabilitar JavaScript no Reader (Editar → Preferências → JavaScript), desabilitar a exibição de PDF dentro do navegador (Preferências → Internet → desmarcar 'Display PDF in browser') e revogar a abertura automática de PDFs pelo Internet Explorer via chave de registro (AcroExch.Document.7 EditFlags). Habilitar DEP no Windows mitiga parcialmente a exploração ao dificultar execução de código na região de memória corrompida, mas o próprio CERT frisa que DEP não é um workaround completo — trata-se de defesa em profundidade, não de correção.

O que não funciona: filtrar por extensão de arquivo ou assinatura de e-mail não impede exploração, já que o PDF é um formato legítimo e o overflow ocorre no parsing interno do próprio Reader, não em metadados triviais de detectar. Bloqueio de macro também é irrelevante — PDF não usa macros para essa cadeia de exploração.

Não há assinatura de rede confiável e genérica para detectar exploração, já que o vetor é um arquivo PDF entregue por e-mail ou download — a detecção depende de inspeção do conteúdo do PDF (estruturas malformadas, objetos anômalos no heap de parsing) por AV/EDR com assinaturas específicas da época, não de padrões de tráfego. Em ambientes com telemetria de endpoint, sinais indiretos incluem o processo do Adobe Reader/Acrobat gerando processos filhos inesperados ou realizando conexões de rede logo após a abertura de um PDF — comportamento anômalo para o software, que normalmente não inicia conexões de saída após renderizar um documento local.

Dado que a exploração ocorreu ativamente em outubro de 2009 e existe módulo Metasploit público, qualquer instalação legada e não corrigida hoje deve ser tratada como presumivelmente vulnerável e sem sinal forense confiável retroativo — a ausência de logs de exploração não indica ausência de tentativa.