CVE-2007-5659
Adobe Acrobat and Reader Buffer Overflow Vulnerability
Beschreibung
CVE-2007-5659 ist eine Pufferüberlauf-Schwachstelle in Adobe Acrobat und Reader, die es entfernten Angreifern ermöglicht, über eine PDF-Datei mit langen Argumenten an nicht näher spezifizierte JavaScript-Methoden beliebigen Code auszuführen. Der Fehler tritt auf, wenn der JavaScript-Interpreter von Acrobat manipulierte PDF-Dokumente mit überlangen String-Parametern verarbeitet, was einen Pufferüberlauf auslöst und Codeausführung im Kontext der Anwendung ermöglicht. Die CISA hat CVE-2007-5659 in ihren KEV-Katalog aufgenommen, und der EPSS-Score von 93,2 % (99. Perzentil) weist auf eine der höchsten Ausnutzungswahrscheinlichkeiten aller bekannten Schwachstellen hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | acrobat | < 8.1.2 |
| adobe | acrobat reader | < 8.1.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=657(Broken Link)
- http://secunia.com/advisories/29065(Broken Link)
- http://secunia.com/advisories/29205(Broken Link)
- http://secunia.com/advisories/30840(Broken Link)
- http://security.gentoo.org/glsa/glsa-200803-01.xml(Third Party Advisory)
- http://sunsolve.sun.com/search/document.do?assetkey=1-26-239286-1(Broken Link)
- http://www.adobe.com/support/security/advisories/apsa08-01.html(Vendor Advisory)
- http://www.adobe.com/support/security/bulletins/apsb08-13.html(Vendor Advisory)
- http://www.kb.cert.org/vuls/id/666281(Third Party Advisory, US Government Resource)
- http://www.redhat.com/support/errata/RHSA-2008-0144.html(Broken Link)
- http://www.us-cert.gov/cas/techalerts/TA08-043A.html(Broken Link, Third Party Advisory, US Government Resource)
- http://www.vupen.com/english/advisories/2008/1966/references(Broken Link)
- https://oval.cisecurity.org/repository/search/definition/oval%3Aorg.mitre.oval%3Adef%3A9813(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2007-5659(US Government Resource)
Schwachstellentyp
CWE-120: Pufferüberlauf durch fehlende Größenprüfung der Eingabe ('Classic Buffer Overflow')
CVE-2007-5659 nutzt einen klassischen Pufferüberlauf in der JavaScript-Methodenverarbeitung von Adobe Acrobat und Reader aus, bei der die Anwendung String-Argumente aus PDF-eingebettetem JavaScript verarbeitet, ohne zu prüfen, ob die Eingabelänge die Kapazität des Zielpuffers überschreitet. Dies ermöglicht es überlangen Argumenten, Puffer fester Größe zu überlaufen und angrenzenden Speicher zu überschreiben.
Mehr erfahren: CWE-120 — Pufferüberlauf durch fehlende Größenprüfung
Auswirkungsanalyse
CVE-2007-5659 ist über ein manipuliertes PDF-Dokument aus der Ferne ausnutzbar — ein Angreifer muss lediglich ein bösartiges PDF mit eingebettetem JavaScript per E-Mail, Web-Download oder Dateifreigabe an das Opfer übermitteln. Keine Authentifizierung ist erforderlich, und die Benutzerinteraktion beschränkt sich auf das Öffnen der PDF-Datei. Eine erfolgreiche Ausnutzung führt zur Ausführung beliebigen Codes mit den Berechtigungen des Adobe-Acrobat- oder Reader-Prozesses, wodurch Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährdet sind. Ein Angreifer kann Backdoors installieren, sensible Daten exfiltrieren, Ransomware einsetzen oder das kompromittierte System für laterale Bewegung innerhalb des Organisationsnetzwerks nutzen. Der EPSS-Score von 93,2 % (99. Perzentil) weist auf nahezu sichere Ausnutzung hin und macht dies zu einer der gefährlichsten PDF-basierten Schwachstellen, die jemals entdeckt wurden.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2007-5659 bestätigt, indem sie die Schwachstelle am 8. Juni 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 93,2 % ordnet diese Schwachstelle im 99. Perzentil ein. CVE-2007-5659 war eine der am weitesten verbreiteten ausnutzbaren Adobe-Reader-Schwachstellen, mit mehreren Exploit-Varianten in aktivem Einsatz über Exploit-Kits und gezielte Angriffskampagnen. Der JavaScript-basierte Auslösemechanismus machte die Ausnutzung hochzuverlässig, und öffentlicher Exploit-Code war weit verbreitet. Es wurde keine spezifische Ransomware-Verbindung gemeldet.
Behebung
- Adobe-Sicherheitsupdates sofort einspielen: Installieren Sie die neuesten Patches für Adobe Acrobat und Reader gemäß der CISA-KEV-Maßnahme.
- Auf aktuelle Version von Adobe Acrobat Reader DC aktualisieren: Stellen Sie sicher, dass alle Systeme eine unterstützte Version mit JavaScript-Sandboxing, Protected Mode und modernen Speicherschutzfunktionen verwenden.
- JavaScript in Adobe Reader deaktivieren: Konfigurieren Sie die Adobe-Reader-Einstellungen, um die JavaScript-Ausführung in PDF-Dokumenten zu deaktivieren, was den JavaScript-basierten Angriffsvektor vollständig eliminiert.
- Protected-Mode-Sandboxing aktivieren: Aktivieren Sie den Protected Mode von Adobe Reader, um den Rendering-Prozess zu isolieren und die Ausnutzung innerhalb der Sandbox einzudämmen.
- PDF-Inhaltsprüfung an allen Netzwerkgrenzen einsetzen: Implementieren Sie tiefe Inspektion von PDF-Dateien an E-Mail-Gateways und Web-Proxies, mit Scanning auf bekannte CVE-2007-5659-Signaturen und verdächtiges JavaScript mit langen String-Argumenten.
Technische Details
CVE-2007-5659 ist eine Pufferüberlauf-Schwachstelle im JavaScript-Interpreter von Adobe Acrobat und Reader, die ausgelöst wird, wenn nicht näher spezifizierte JavaScript-Methoden innerhalb eines PDF-Dokuments Argumente mit überlangen String-Werten erhalten. Die JavaScript-Engine übergibt diese String-Argumente an native Code-Funktionen, die die Daten ohne ordnungsgemäße Grenzwertprüfung in Stack- oder Heap-Puffer fester Größe kopieren, was zu einem klassischen Pufferüberlauf führt, klassifiziert unter CWE-120. Der Überlauf überschreibt angrenzenden Speicher einschließlich Rücksprungadressen oder Funktionszeiger und ermöglicht die Umleitung der Ausführung auf im PDF eingebetteten Shellcode oder über ROP-Chains erreichbaren Code. Der JavaScript-Kontext bietet dem Angreifer erhebliche Kontrolle über den Ausnutzungsprozess, da Heap-Layouts vor dem Auslösen des Überlaufs durch JavaScript-Speicheroperationen präzise manipuliert werden können.
Häufig gestellte Fragen
Wird CVE-2007-5659 aktiv ausgenutzt?
Ja. Die CISA hat die aktive Ausnutzung bestätigt. Der EPSS-Score von 93,2 % im 99. Perzentil weist auf nahezu sichere Ausnutzung hin. Diese Schwachstelle war einer der am weitesten verbreiteten Adobe-Reader-Fehler, mit mehreren Exploit-Varianten im öffentlichen Umlauf.
Welche Produkte sind von CVE-2007-5659 betroffen?
CVE-2007-5659 betrifft Adobe Acrobat und Adobe Reader, speziell die JavaScript-Interpreter-Komponente. Mehrere Versionen beider Produkte sind verwundbar.
Wie behebe ich CVE-2007-5659?
Aktualisieren Sie Adobe Acrobat und Reader auf die neueste gepatchte Version. Deaktivieren Sie JavaScript in den Adobe-Reader-Einstellungen und aktivieren Sie Protected-Mode-Sandboxing.
Wie schwerwiegend ist CVE-2007-5659?
CVE-2007-5659 gehört zu den schwerwiegendsten jemals entdeckten PDF-Schwachstellen, mit einem EPSS-Score im 99. Perzentil. Der JavaScript-ausgelöste Pufferüberlauf ermöglicht hochzuverlässige Remote-Codeausführung über bösartige PDF-Dokumente. Die breite Verfügbarkeit von Exploit-Code und die Allgegenwärtigkeit von PDF in Geschäftsabläufen machen diese Schwachstelle außerordentlich gefährlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.