CVE-2021-28546

Опубликовано: 01 апр. 2021

Источник: nvd

CVSS3: 6.5

CVSS2: 4.3

EPSS Низкий

Уязвимость модификации содержимого сертифицированного PDF в Acrobat Reader DC без потери сертификата

Описание

Злоумышленник может использовать уязвимость в Acrobat Reader DC для изменения содержимого сертифицированного PDF-документа без аннулирования сертификата. Для эксплуатации уязвимости требуется действие пользователя, так как жертва должна открыть изменённый файл.

Затронутые версии ПО

Acrobat Reader DC версии 2020.013.20074 и более ранние
Acrobat Reader DC версии 2020.001.30018 и более ранние
Acrobat Reader DC версии 2017.011.30188 и более ранние

Тип уязвимости

Подделка содержимого

Ссылки

https://helpx.adobe.com/security/products/acrobat/apsb21-09.html
Vendor Advisory
https://helpx.adobe.com/security/products/acrobat/apsb21-09.html
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одновременно

Одно из

cpe:2.3:a:adobe:acrobat:*:*:*:*:classic:*:*:*

Версия от 17.011.30059 (включая) до 17.011.30188 (включая)

cpe:2.3:a:adobe:acrobat:*:*:*:*:classic:*:*:*

Версия от 20.001.30005 (включая) до 20.001.30018 (включая)

cpe:2.3:a:adobe:acrobat_dc:*:*:*:*:continuous:*:*:*

Версия от 15.008.20082 (включая) до 20.013.20074 (включая)

cpe:2.3:a:adobe:acrobat_reader:*:*:*:*:classic:*:*:*

Версия от 17.011.30059 (включая) до 17.011.30188 (включая)

cpe:2.3:a:adobe:acrobat_reader:*:*:*:*:classic:*:*:*

Версия от 20.001.30005 (включая) до 20.001.30018 (включая)

cpe:2.3:a:adobe:acrobat_reader_dc:*:*:*:*:continuous:*:*:*

Версия от 15.008.20082 (включая) до 20.013.20074 (включая)

Одно из

cpe:2.3:o:apple:macos:-:*:*:*:*:*:*:*

cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*

EPSS

Процентиль: 60%

0.00401

Низкий

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-353

Связанные уязвимости

GHSA-v28v-fvcc-8q35

github

больше 3 лет назад

Acrobat Reader DC versions versions 2020.013.20074 (and earlier), 2020.001.30018 (and earlier) and 2017.011.30188 (and earlier) are missing support for an integrity check. An unauthenticated attacker could leverage this vulnerability to modify content in a certified PDF without invalidating the certification. Exploitation of this issue requires user interaction in that a victim must open the tampered file.