Adobe Acrobat Reader DC CSP Bypass Leads To Privilege Escalation

Adobe Acrobat Reader DC tiene una falla que permite a los atacantes eludir las políticas de seguridad diseñadas para prevenir solicitudes no autorizadas entre dominios. Un atacante puede engañar a un usuario para que abra un archivo PDF malicioso, que luego envía solicitudes indeseadas a otros sitios web en nombre de la víctima.

CVE-2022-28244 implica un bypass de Content Security Policy (CSP) en Acrobat Reader DC mediante violación de principios de diseño seguro. El vector de ataque requiere interacción del usuario (apertura de un PDF manipulado en servidor del atacante) y permite la ejecución de solicitudes arbitrarias entre orígenes. El impacto habilita acciones no autorizadas contra dominios de terceros en el contexto de seguridad de la víctima.