CVE-2010-2883
Adobe Acrobat and Reader
2022-06-08
Adobe Acrobat and Reader contain a stack-based buffer overflow vulnerability that allows remote attackers to execute code or cause denial-of-service (DoS).
Технический анализ и план устранения
Суть уязвимости
CVE-2010-2883 представляет собой критическую уязвимость типа «переполнение буфера в стеке» (Stack-based Buffer Overflow). Проблема локализована в библиотеке authplay.dll, которая используется Adobe Reader и Acrobat для обработки встроенного Flash-контента.
Причина кроется в некорректной обработке поля Singular в таблице имен шрифтов (CoolType) внутри PDF-документа. Злоумышленник может создать специально сформированный PDF-файл, содержащий вредоносный шрифт, который при открытии вызывает перезапись указателя в стеке. Это позволяет выполнить произвольный код (RCE) с правами текущего пользователя или вызвать отказ в обслуживании (DoS).
Как исправить
Основным способом устранения является обновление программного обеспечения до версий, в которых данная уязвимость была закрыта производителем.
- Для Adobe Reader: обновитесь до версии 9.4 или выше.
- Для Adobe Acrobat: обновитесь до версии 9.4 или выше.
Если вы используете Adobe Reader/Acrobat X (10.x), убедитесь, что установлена версия 10.1 или выше, где реализован защищенный режим (Sandboxing), минимизирующий риски эксплуатации.
Временные меры
Если немедленное обновление невозможно, необходимо ограничить вектор атаки путем отключения или удаления уязвимого компонента authplay.dll.
1. Удаление или переименование уязвимой библиотеки (Windows)
Выполните команды в консоли с правами администратора, чтобы нейтрализовать компонент, отвечающий за Flash:
cd "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\authplay.dll"
rename authplay.dll authplay.dll.bak
2. Использование Enhanced Mitigation Experience Toolkit (EMET) или Windows Defender Exploit Guard
Включите принудительную защиту DEP (Data Execution Prevention) и ASLR для процессов Adobe Reader:
Set-ProcessMitigation -Name Acrobat.exe -Enable DEP,BottomUpASLR
Set-ProcessMitigation -Name AcroRd32.exe -Enable DEP,BottomUpASLR
3. Отключение JavaScript в Adobe Reader
Это снижает вероятность успешной отработки эксплойта, который часто использует JS для подготовки памяти (Heap Spray):
reg add "HKCU\Software\Adobe\Acrobat Reader\9.0\JSPrefs" /v bEnableJS /t REG_DWORD /d 0 /f
4. Настройка фильтрации на уровне почтового шлюза или IPS
Настройте системы обнаружения вторжений (IDS/IPS) на блокировку PDF-файлов, содержащих некорректные структуры шрифтов CoolType, или временно ограничьте прием вложений в формате .pdf от непроверенных отправителей.