Acrobat Reader DC Heap-based Buffer Overflow Vulnerability Could Lead To Arbitrary Code Execution

Falha de heap-based buffer overflow no Acrobat Reader DC que permite execução de código arbitrário no contexto do usuário logado, bastando abrir um arquivo PDF malicioso. Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva sua prioridade muito além do que o CVSS já indica — é uma vulnerabilidade real de client-side com histórico de uso ofensivo, não apenas teórica.

A CWE associada é CWE-122 (Heap-based Buffer Overflow). O parser do Acrobat Reader, ao processar determinada estrutura de um arquivo PDF, escreve dados em um buffer alocado no heap sem validar corretamente o tamanho da entrada — o resultado é sobrescrita de memória adjacente àquela alocação. O fornecedor não detalhou publicamente (no material disponível) qual componente exato de parsing está envolvido, mas o padrão é consistente com falhas de corrupção de memória historicamente exploradas em parsers de PDF: manipulação de objetos, streams ou fontes embutidas que disparam cálculos de tamanho incorretos antes de uma cópia para o heap.

O atacante controla o conteúdo do arquivo PDF entregue à vítima — ou seja, controla os dados que acabam sendo copiados para o buffer vulnerável e, em última instância, pode moldar esse conteúdo para corromper estruturas de heap de forma previsível, viabilizando desvio de fluxo de execução. Não há necessidade de autenticação nem de rede especial: o vetor é local ao processo do leitor de PDF no momento em que ele abre o arquivo.

O vetor CVSS (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) reflete exatamente isso: sem privilégios prévios, sem escopo alterado, mas com interação do usuário obrigatória (UI:R) — a vítima precisa abrir o arquivo. Impacto total em confidencialidade, integridade e disponibilidade porque a execução de código ocorre no contexto do processo do Reader, com os privilégios do usuário que o abriu.

O vetor de entrega é um arquivo PDF malicioso, tipicamente distribuído por e-mail, download ou compartilhamento de arquivo. Não há pré-requisito de autenticação, rede específica ou configuração não padrão do Acrobat — a condição real de exploração é unicamente a interação do usuário (abrir o arquivo). Isso torna o público-alvo amplo: qualquer ambiente com Acrobat Reader instalado nas versões afetadas está potencialmente exposto, sem depender de exposição de serviço de rede.

A presença no catálogo KEV da CISA confirma exploração ativa em campo — não é apenas PoC de laboratório. A CISA não classifica a CVE como usada em campanhas de ransomware conhecidas ('Unknown' no campo específico), mas a inclusão no KEV por si só indica uso ofensivo documentado o suficiente para justificar prazo de correção obrigatório para agências federais dos EUA (adicionada em 2021-11-03, prazo 2021-11-17).

Existência de PoC pública (conforme os dados fornecidos) reduz a barreira de reprodução por atacantes menos sofisticados, ainda que weaponizar corrupção de heap em execução de código confiável normalmente exija engenharia adicional além do PoC de crash inicial (bypass de mitigações como ASLR/DEP/CFG do processo do Reader).

A mitigação real é atualizar o Acrobat Reader DC para uma versão corrigida pelo boletim oficial da Adobe (APSB21-09). O conteúdo detalhado desse boletim com os números exatos das versões corrigidas não constava no material disponível para esta análise — consulte o advisory oficial (link nas fontes) para confirmar a versão de destino aplicável ao seu ramo (Continuous, Classic 2020, Classic 2017) antes de aplicar.

Se a atualização imediata não for possível, controles compensatórios reais incluem: bloquear o recebimento e abertura de arquivos PDF de origem não confiável em endpoints críticos (via gateway de e-mail ou política de anexos), e restringir a execução do Acrobat/Reader com Protected View ou sandboxing do sistema operacional habilitados — reduzindo, mas não eliminando, o impacto de uma exploração bem-sucedida. Treinamento de usuário contra abertura de anexos desconhecidos ajuda a reduzir a superfície, mas não é mitigação técnica confiável dado que UI:R é o único obstáculo do CVSS.

Não funciona como mitigação: confiar em antivírus de assinatura para detectar o PDF malicioso, já que exploits de corrupção de heap podem ser customizados para evadir assinaturas conhecidas. Também não é suficiente restringir apenas por extensão de arquivo (.pdf), pois o vetor é o conteúdo interno do arquivo, não a extensão.

Não há assinatura de rede confiável para detectar exploração, já que o vetor é um arquivo local processado pelo Reader — a inspeção precisa ocorrer no nível do arquivo PDF (gateway de e-mail, sandbox de anexos) ou no comportamento do processo do Acrobat/Reader no endpoint. Sinais úteis em EDR incluem crashes inesperados do processo AcroRd32.exe/Acrobat.exe, alocações de memória anômalas, ou o processo do Reader gerando processos filhos não usuais (shell, downloaders) pouco depois da abertura de um PDF.

Sem os detalhes técnicos completos do advisory da Adobe sobre o componente vulnerável específico, não é possível apontar um padrão de arquivo PDF malformado característico com precisão — recomenda-se monitorar logs de abertura de anexos e comportamento pós-abertura do processo como indicador primário.