В версиях Acrobat Reader DC 2020.013.20074 (и более ранних), 2020.001.30018 (и более ранних) и 2017.011.30188 (и более ранних) отсутствует …
В версиях Acrobat Reader DC 2020.013.20074 (и более ранних), 2020.001.30018 (и более ранних) и 2017.011.30188 (и более ранних) отсутствует поддержка проверки целостности. Не прошедший проверку подлинности злоумышленник будет иметь возможность полностью манипулировать данными в сертифицированном PDF-файле, не аннулируя исходную сертификацию. Эксплуатация этой проблемы требует взаимодействия с пользователем, поскольку жертва должна открыть подделанный файл.
Продукт использует протокол передачи, не включающий механизм проверки целостности данных в процессе передачи, например контрольную сумму.
https://cwe.mitre.org/data/definitions/353.html →Открыть в коллекции CWE →Злоумышленник прямо или косвенно изменяет переменные окружения, используемые целевым программным обеспечением или управляющие им. Цель злоумышленника состоит в том, чтобы заставить целевое программное обеспечение отклониться от ожидаемого поведения способом, выгодным злоумышленнику.
https://capec.mitre.org/data/definitions/13.html →Открыть в коллекции CAPEC →Данный тип атаки эксплуатирует уязвимость переполнения буфера в клиентском программном обеспечении путём внедрения вредоносного содержимого из специально созданного враждебного сервиса. Враждебный сервис создаётся для доставки нужного содержимого клиентскому программному обеспечению. Например, если клиентским приложением является браузер, сервис будет хостить веб-страницу, которую браузер загрузит.
https://capec.mitre.org/data/definitions/14.html →Открыть в коллекции CAPEC →В обстоятельствах, когда приложение хранит важные данные на стороне клиента в токенах (cookie-файлах, URL, файлах данных и т. п.), этими данными можно манипулировать. Если клиентские или серверные компоненты приложения повторно интерпретируют эти данные как токены аутентификации или данные (например, цены на товары в магазине или информацию о кошельке), то даже непрозрачная манипуляция этими данными может принести результат злоумышленнику. В данном шаблоне злоумышленник подрывает допущение о том, что клиентские токены были надлежащим образом защищены от подделки с помощью шифрования или запутывания.
https://capec.mitre.org/data/definitions/39.html →Открыть в коллекции CAPEC →Нет описания в исходных данных.
https://capec.mitre.org/data/definitions/74.html →Открыть в коллекции CAPEC →Как правило, это файлы, редактируемые вручную и не находящиеся в зоне видимости системных администраторов. Любая возможность злоумышленника изменять эти файлы, например в репозитории CVS, предоставляет несанкционированный доступ непосредственно к приложению — такой же, как у авторизованных пользователей.
https://capec.mitre.org/data/definitions/75.html →Открыть в коллекции CAPEC →Злоумышленник манипулирует входящими или исходящими данными клиента в рамках приложения с целью изменения содержимого сообщений. Проведение данной атаки позволяет злоумышленнику манипулировать содержимым таким образом, чтобы создавать сообщения или контент, выглядящие аутентично, но способные содержать вводящие в заблуждение ссылки, спам-подобное содержимое или ссылки на код злоумышленника. В общем случае подмена содержимого в API приложения может использоваться для подготовки самых различных атак в зависимости от намерений злоумышленника. Техники требуют использования специализированного программного обеспечения, позволяющего злоумышленнику перехватывать коммуникации «adversary-in-the-middle» (CAPEC-94) между веб-браузером и удалённой системой.
https://capec.mitre.org/data/definitions/389.html →Открыть в коллекции CAPEC →Нет описания в исходных данных.
https://capec.mitre.org/data/definitions/665.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| acrobat | * | Отслеживается |
| acrobat_dc | * | Отслеживается |
| acrobat_reader | * | Отслеживается |
| acrobat_reader_dc | * | Отслеживается |