CVE-2013-0641

Buffer overflow (CWE-120) no Adobe Reader e Acrobat que permite execução remota de código através de um PDF malicioso. A falha foi usada em ataques reais já em fevereiro de 2013, antes da correção, tipicamente combinada com CVE-2013-0640 (bypass do sandbox Protected Mode do Reader XI) para conseguir execução completa fora do sandbox. Está no catálogo KEV da CISA por exploração confirmada, embora a inclusão formal só tenha ocorrido em 2022 — décadas de vida útil dessa vulnerabilidade em ambientes legados.

A vulnerabilidade é um buffer overflow de memória (CWE-120) no processamento de PDF pelo Adobe Reader/Acrobat. O boletim da Adobe (APSB13-07) e o CERT/CC (VU#422807) descrevem a falha genericamente como 'memory corruption', sem detalhar o parser ou estrutura de dados exata dentro do PDF que dispara o overflow — isso não foi divulgado publicamente pela Adobe nem está nas fontes disponíveis, então não deve ser inferido.

O atacante controla o conteúdo de um arquivo PDF especialmente construído (o crafted PDF document mencionado na descrição oficial). Ao processar esse arquivo — presumivelmente durante o parsing de algum objeto ou stream interno, dado o padrão histórico de falhas semelhantes no Reader — o overflow corrompe memória de forma que permite redirecionar o fluxo de execução.

A CVE foi divulgada em conjunto com CVE-2013-0640 no mesmo boletim e no mesmo VU do CERT. Análises da FireEye e da McAfee (referenciadas abaixo) documentam que essas duas falhas foram encadeadas em campanhas reais: uma delas dava execução de código, a outra escapava do sandbox (Protected Mode) introduzido no Reader/Acrobat XI. Isso é relevante porque o impacto real de CVE-2013-0641 isolada, em versões sem sandbox (9.x, 10.x), já era execução direta de código no contexto do usuário; em 11.x, o impacto pleno dependia do encadeamento com o bypass de sandbox.

Vetor de entrega: arquivo PDF malicioso, enviado por e-mail ou hospedado para download, que a vítima precisa abrir no Reader ou Acrobat vulnerável — daí o User Interaction: Required no vetor CVSS. Não há necessidade de autenticação nem de configuração não padrão; basta o usuário abrir o arquivo com uma versão vulnerável instalada. O vetor CVSS fornecido (AV:L) reflete que a execução do payload ocorre localmente na máquina da vítima após o parsing do arquivo — a distribuição em si é remota (e-mail, web), mas o CVSS 3.1 recalculado trata o ponto de exploração como local, algo comum em falhas de parser de arquivo.

A FireEye documentou, em fevereiro de 2013, uma campanha ativa usando exatamente esse tipo de PDF malicioso, associando-o ao par CVE-2013-0640/CVE-2013-0641. A McAfee, por sua vez, detalhou a técnica de escape do sandbox usada nesses ataques contra o Reader XI. Isso indica exploração direcionada (não massiva) por atores que já tinham o exploit funcional antes do patch — um cenário clássico de zero-day usado em campanhas de espionagem/direcionadas contra alvos específicos, não ataques oportunistas em massa.

O resultado final da exploração bem-sucedida é execução arbitrária de código no contexto do usuário que abriu o PDF; em Reader XI com sandbox íntegro (sem o encadeamento com CVE-2013-0640), o impacto ficaria mais contido ao processo sandboxed, mas a Adobe e o CERT tratam a falha isolada como já suficiente para RCE no contexto do usuário nas versões afetadas.

Atualizar é a única mitigação real e definitiva: Adobe Reader/Acrobat 9.x para 9.5.4 ou posterior, 10.x para 10.1.6 ou posterior, 11.x para 11.0.02 ou posterior. Distribuições Linux que empacotavam o Acrobat Reader (via RHSA-2013-0551, Red Hat Enterprise Linux 5 e 6 Supplementary; e GLSA 201308-03, Gentoo) also precisam do pacote acroread atualizado — o Red Hat empacotou a correção na versão 9.5.4; o Gentoo, posteriormente, exigiu acroread >= 9.5.5 (que já cobre correções adicionais além desta CVE).

Se a atualização imediata não for possível, o CERT/CC lista paliativos parciais, todos com ressalvas: habilitar o Protected View no Reader/Acrobat XI (reduz superfície de ataque ao tratar arquivos de origem não confiável com mais restrição, mas só existe na linha 11.x); desabilitar JavaScript no Reader/Acrobat (reduz a superfície de exploits que dependem de JS, mas não elimina o buffer overflow em si, que está no parsing do PDF, não necessariamente ligado a JS); habilitar DEP no Windows e usar um framework de mitigação de exploração no nível do sistema operacional (o CERT cita o EMET, hoje descontinuado pela Microsoft, então essa recomendação específica está obsoleta e não deve ser seguida como está — a lição que permanece válida é usar mitigações de exploração em nível de SO, como DEP/ASLR, que ainda são relevantes). Nenhuma dessas medidas substitui o patch: são redução de superfície, não correção da falha de memória.

O Gentoo registra explicitamente 'não há workaround conhecido' para a série de vulnerabilidades do boletim que inclui esta CVE — reforçando que a atualização de pacote é o caminho, sem substituto configurável.

Não há assinatura genérica confiável para detectar exploração desta CVE especificamente, já que a falha está embutida no parsing interno do PDF e a Adobe não divulgou detalhes suficientes do mecanismo para construir uma regra precisa. A FireEye e a McAfee documentaram artefatos e comportamento da campanha específica de fevereiro de 2013 (o exploit combinado com CVE-2013-0640, incluindo a técnica de escape de sandbox), mas esses indicadores são específicos daquela campanha e de amostras daquele período — não servem como detecção geral para qualquer exploração futura da mesma classe de falha. Em ambientes que ainda rodam versões vulneráveis, o sinal mais prático é comportamental: processos do Reader/Acrobat gerando processos filhos inesperados, escrita em locais atípicos do sistema ou tráfego de rede logo após a abertura de um PDF recebido por e-mail.