CVE-2013-2729

Falha de integer overflow (CWE-189) no motor de renderização de PDF do Adobe Reader e Acrobat que permite execução de código arbitrário ao abrir um arquivo PDF malicioso. É tratada pela Adobe como vulnerabilidade distinta da CVE-2013-2727, presente no mesmo boletim APSB13-15, mas afetando um componente de parsing diferente. Está no catálogo KEV da CISA — mas com data de inclusão de 2022, quase nove anos após a divulgação original, o que indica catalogação retroativa e não uma onda de exploração recente.

A Adobe classificou a falha apenas como 'integer overflow... via unspecified vectors' — não há divulgação pública, nem pela Adobe nem por pesquisadores terceiros nas fontes disponíveis, sobre qual parser, filtro ou estrutura de objeto PDF especificamente dispara o overflow. O CISA KEV cataloga o CWE como 189 (Integer Overflow or Wraparound), consistente com um cálculo de tamanho ou índice que ultrapassa os limites do tipo inteiro usado internamente, corrompendo alocação de memória ou índices de acesso subsequentes — padrão típico de bugs de parsing em Reader/Acrobat daquela era, que costumavam levar a heap overflow explorável para RCE.

O boletim da Adobe (APSB13-15) lista CVE-2013-2729 junto com mais de duas dezenas de outras CVEs corrigidas na mesma rodada (CVE-2013-2718 a CVE-2013-2737, CVE-2013-3337 a CVE-2013-3341, entre outras), a maioria delas também descrita de forma genérica como falhas de corrupção de memória ou overflow em vetores não especificados. Isso é característico do processo de disclosure da Adobe na época: o fornecedor agrupava correções de múltiplos pesquisadores e programas de recompensa sem detalhar o mecanismo exato de cada CVE individualmente.

A CVE-2013-2549, mencionada na mesma atualização e associada ao CanSecWest 2013 (Pwn2Own), é uma vulnerabilidade separada — não há evidência nas fontes de que a 2013-2729 tenha vindo da mesma demonstração pública.

O vetor de entrega é um arquivo PDF malicioso que a vítima precisa abrir manualmente no Reader ou Acrobat vulnerável — não há caminho de exploração sem interação do usuário. Uma reavaliação do CISA (issue no repositório vulnrichment) reclassificou explicitamente esse grupo de bugs do Acrobat, incluindo esta CVE, como UI:R (User Interaction Required) e 'Automatable: No', justamente porque o acroread.exe da época não expunha um caminho de parsing headless/automatizável — só engines como Ghostscript ou, mais tarde, o renderizador de PDF do Google, teriam esse tipo de exposição, e não compartilhavam o mesmo código vulnerável.

Segundo a mesma análise do CISA, os casos documentados de exploração desse conjunto de bugs do Acrobat envolveram kits de spear-phishing customizados para o alvo — ou seja, campanhas direcionadas, não exploração massiva e indiscriminada via web. Isso é compatível com o padrão de EPSS moderado (0,66) e presença no KEV sem menção a uso em ransomware.

Sucesso da exploração dá execução de código arbitrário no contexto do usuário que abriu o PDF — sem elevação de privilégio automática, mas com controle total sobre a sessão do usuário logado, suficiente para instalar malware persistente ou pivotar na rede.

Atualizar para as versões corrigidas pela Adobe: 9.5.5 (branch 9.x), 10.1.7 (branch 10.x) ou 11.0.03 (branch 11.x), conforme APSB13-15. Distribuições Linux que empacotavam o Acrobat Reader também lançaram correções seguindo o mesmo corte: Red Hat via RHSA-2013:0826 (pacote acroread-9.5.5) e Gentoo via GLSA 201308-03 (>=app-text/acroread-9.5.5).

Não há workaround de configuração documentado pelo fornecedor nem pelas distribuições — o próprio GLSA do Gentoo declara explicitamente 'There is no known workaround at this time'. Como mitigação compensatória de fato, o controle mais efetivo é reduzir a superfície de ataque: bloquear execução de JavaScript embutido no PDF (se aplicável ao vetor), abrir PDFs de origem não confiável em visualizador sandboxed ou sanitizador (não o Acrobat completo), e filtrar anexos PDF em gateways de e-mail — mas nenhuma dessas medidas substitui a atualização, já que o overflow está no parser nativo do produto.

Dado que essas versões (Reader/Acrobat 9.x, 10.x, 11.x) estão fora de suporte há anos, o cenário mais realista hoje é presença residual em sistemas legados ou air-gapped; a ação correta é migrar para uma versão suportada do produto, não tentar mitigar a versão antiga.

Nenhuma das fontes consultadas traz assinatura, IOC ou padrão de tráfego específico associado à exploração desta CVE — a Adobe não detalhou o vetor técnico e não há writeup público de PoC nas referências disponíveis. Na ausência de assinatura conhecida, o sinal prático a monitorar é comportamental: processos filhos anômalos gerados por AcroRd32.exe/Acrobat.exe após a abertura de um PDF (spawn de shell, conexões de rede inesperadas, escrita em diretórios de inicialização), típico de exploração de corrupção de memória em leitores de PDF da época — não é uma assinatura específica desta CVE, mas do padrão geral de exploração de Reader/Acrobat legado.