BDU:2023-01768

Высокий

BDU:2023-01768: Уязвимость программ просмотра и редактирования PDF-файлов Adobe Reader и Adobe Acrobat, существующая из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы, позволяющая нарушителю выполнить произвольный код

CVSS v38.8

CVSS v29.3

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программ просмотра и редактирования PDF-файлов Adobe Reader и Adobe Acrobat существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного PDF-файла

Что делать с BDU:2023-01768

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

8.8Высокий

Пересчитать →

9.3

Только просмотр

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAV:N/AC:M/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-78

CWE-264

CVE — международный идентификатор

CVE-2010-1240

EDB-ID11987

CWE-78

Внедрение команд ОС

Позволяет выполнять произвольные команды операционной системы через пользовательский ввод.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод подставляется в команду ОС: ping {input} → ping 8.8.8.8; rm -rf /. Сервер выполняет обе команды.

Последствия

Полный контроль над ОС сервера: чтение файлов, установка бэкдора, lateral movement.

Рекомендации

Никогда не конструируйте команды из пользовательского ввода. Используйте API вместо shell-команд.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (6)

Вендор	Название	Версия	Платформа
Novell Inc.	Suse Linux Enterprise Desktop	11 SP1	Не указана
Novell Inc.	Suse Linux Enterprise Desktop	11	Не указана
Adobe Systems Inc.	Adobe Reader	до 9.3.3 включительно	Не указана
Adobe Systems Inc.	Adobe Reader	до 8.2.3 включительно	Не указана
Adobe Systems Inc.	Adobe Acrobat	до 8.2.3 включительно	Не указана
Adobe Systems Inc.	Adobe Acrobat	до 9.3.3 включительно	Не указана

Среды функционирования (4)

Вендор	Название	Версия	Платформа
Microsoft Corp	Windows	-	Не указана
Novell Inc.	Suse Linux Enterprise Desktop	11 SP1	Не указана
Apple Inc.	MacOS	-	Не указана
Novell Inc.	Suse Linux Enterprise Desktop	11	Не указана

Источники (1)

https://blog.didierstevens.com/2010/03/29/escape-from-pdf/ https://blog.didiers…

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации73.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2010-06-29

Опубликована

2023-04-02

Обновлена

2026-04-30

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2010-1240 MITRE: CWE-78 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК