CVE-2009-3953

Falha de corrupção de memória no parser de U3D (Universal 3D) do Adobe Reader e Acrobat, explorável ao abrir um PDF malicioso contendo uma estrutura CLODProgressiveMeshDeclaration malformada, resultando em execução de código arbitrário no contexto do usuário. É uma vulnerabilidade de 2009/2010 that entrou tardiamente no catálogo KEV da CISA (2022), o que sinaliza legado — sistemas ainda correndo Reader/Acrobat dessa era são o problema real, não uma ameaça nova.

A falha está no módulo de renderização de conteúdo 3D embutido em PDF via formato U3D, especificamente no parsing da estrutura CLODProgressiveMeshDeclaration (declaração de malha progressiva com nível de detalhe contínuo). O Adobe classifica como 'array boundary issue' e a CISA mapeia como CWE-119 (restrição inadequada de operações dentro dos limites de um buffer de memória). O parser lê campos controlados pelo atacante dentro da estrutura U3D — contagens de vértices, faces ou níveis de resolução da malha progressiva — sem validar corretamente contra o tamanho real do array alocado, permitindo leitura/escrita fora dos limites.

O atacante controla o conteúdo do stream U3D embutido no PDF: os valores que definem dimensões e índices da malha 3D. Ao fornecer valores fora da faixa esperada, força o parser a acessar memória adjacente ao buffer, corrompendo estruturas de heap ou stack e abrindo caminho para execução de código.

É uma vulnerabilidade distinta da CVE-2009-2994, que também envolve U3D mas afeta outro ponto do código de parsing — a Adobe corrigiu ambas no mesmo boletim (APSB10-02), junto com CVE-2009-3954, CVE-2009-3955, CVE-2009-3958 e CVE-2009-3959, todas relacionadas a manipulação de conteúdo multimídia/3D e ao Download Manager.

Vetor: PDF malicioso enviado por e-mail ou hospedado em site, contendo um objeto 3D em formato U3D com a estrutura CLODProgressiveMeshDeclaration adulterada. Não exige autenticação nem configuração especial — apenas que a vítima abra o arquivo no Adobe Reader ou Acrobat vulnerável (UI:R no vetor CVSS confirma a necessidade de interação do usuário). Não há pré-condição de rede incomum: o ataque é client-side clássico via arquivo.

A exploração bem-sucedida entrega execução de código arbitrário no contexto do processo do Reader/Acrobat, historicamente usada como vetor de entrega inicial em campanhas direcionadas da época (2009-2010), quando PDFs armados eram método comum de comprometimento inicial. Existe módulo Metasploit documentado para essa falha e PoC pública, o que reduz a complexidade de reprodução para quem já tem amostras ou builds antigas do software para testar.

A inclusão no catálogo KEV da CISA em 2022 — mais de uma década depois da divulgação — não indica uma nova onda de exploração, mas reflete o critério da CISA de listar vulnerabilidades com histórico confirmado de exploração ativa, incluindo casos antigos usados para forçar agências federais a eliminar software desatualizado ainda em uso.

O fornecedor corrigiu a falha nas versões 9.3, 8.2 (Windows e Mac OS X) e 7.1.4 do Adobe Reader e Acrobat, publicadas junto com o boletim APSB10-02 em janeiro de 2010. Atualizar para essas versões ou qualquer versão posterior elimina o problema.

Como o software é de 2009-2010 e está fora de qualquer ciclo de suporte há muito tempo, a mitigação prática hoje raramente é 'aplicar o patch' — é identificar e desativar/substituir instalações remanescentes de Reader/Acrobat em versões pré-9.3/8.2/7.1.4, frequentemente encontradas em máquinas legadas, VMs esquecidas ou appliances embarcados. Como controle compensatório quando a atualização não é imediata, desabilitar o suporte a conteúdo 3D/multimídia no Reader (quando a opção existir na versão instalada) reduz a superfície de ataque para esse vetor específico, mas não corrige a falha subjacente.

Não funciona como mitigação: apenas evitar abrir anexos de remetentes desconhecidos — o vetor é o conteúdo do arquivo, não a origem, e amostras maliciosas circulam livremente há anos com PoC pública disponível.

Sinal mais confiável: PDFs contendo objetos/streams U3D com estruturas de malha (CLODProgressiveMeshDeclaration) com contagens de vértices, faces ou níveis de detalhe fora de padrões razoáveis — ferramentas de análise estática de PDF que decodificam anotações 3D podem apontar isso. Soluções de antivírus/EDR com assinaturas para exploits de PDF antigos (categoria 'Exploit.PDF' relacionada a U3D/Adobe) detectam amostras conhecidas, mas variantes customizadas escapam facilmente de assinaturas estáticas.

Não há um indicador de rede específico, já que o ataque ocorre no momento da abertura local do arquivo pelo Reader/Acrobat — não há aviso ou log confiável no lado do fornecedor para tentativas de exploração além de crash reports do próprio processo (que raramente são monitorados centralmente em ambientes que ainda usam software dessa era).