CVE-2018-4990

Falha de double free (CWE-415) no motor de parsing de PDF do Adobe Acrobat e Reader que permite execução arbitrária de código no contexto do usuário que abre um arquivo malicioso. Está no catálogo KEV da CISA com exploração confirmada, o que eleva sua prioridade prática muito além do que o CVSS de 8.8 já sugere — é uma vulnerabilidade de client-side com histórico real de uso ofensivo, não apenas teórico.

A falha é classificada como CWE-415 (double free): a mesma região de memória é liberada duas vezes durante o processamento de um documento PDF. Isso corrompe as estruturas de gerenciamento do heap, e se o atacante conseguir controlar o conteúdo realocado nesse espaço antes da segunda liberação — técnica clássica de heap grooming — o resultado pode ser execução de código arbitrário em vez de apenas uma queda (crash) do processo.

A descrição oficial da Adobe não especifica o componente exato do parser (por exemplo, se está ligado a JavaScript embutido, a um filtro de stream, a fontes ou a anotações) nem detalha a rotina interna afetada. Não encontramos, nas fontes disponíveis, uma análise técnica pública que dissecasse o código vulnerável linha a linha — o que existe é a classificação CWE-415 confirmada pela CISA e a descrição funcional da Adobe.

O vetor CVSS (AV:N/AC:L/PR:N/UI:R) indica que não é necessária autenticação nem privilégio elevado, a complexidade de ataque é baixa, mas há exigência de interação do usuário (UI:R) — ou seja, a vítima precisa abrir o arquivo PDF malicioso. O campo AV:N reflete que o arquivo pode ser entregue por qualquer canal de rede (e-mail, download, link), não que o ataque ocorra sem abertura do documento.

O vetor prático é um arquivo PDF malicioso entregue por e-mail (phishing com anexo), download de site comprometido ou link direto. A exploração exige que a vítima abra o documento no Acrobat ou Reader vulnerável — não há exploração remota sem interação humana. Não há pré-requisito de autenticação, configuração não padrão ou privilégio elevado no sistema da vítima: qualquer usuário comum que abra o PDF está exposto.

A presença no catálogo KEV da CISA confirma exploração ativa em campanhas reais, mas as fontes consultadas não detalham o ator, a campanha ou a cadeia de exploração usada — não há um writeup público técnico completo disponível nas referências catalogadas. A CISA classifica a ação recomendada apenas como 'aplicar atualizações conforme instrução do fornecedor', sem detalhar TTPs específicas.

Do ponto de vista de impacto, uma exploração bem-sucedida dá ao atacante execução de código no contexto do usuário logado — não necessariamente privilégios administrativos, mas suficiente para instalar malware, estabelecer persistência ou servir como ponto de entrada para escalonamento posterior, dependendo do que o usuário puder fazer na máquina.

A Adobe publicou o advisory APSB18-09 com correções para as três linhas de versão afetadas (2018.011.20038 e anteriores, 2017.011.30079 e anteriores, 2015.006.30417 e anteriores). Não tivemos acesso ao conteúdo completo desse advisory nas fontes fornecidas, portanto não é possível confirmar aqui o número exato da versão corrigida para cada ramo — a orientação segura é consultar diretamente o advisory da Adobe (APSB18-09) e atualizar para a versão mais recente disponível para a linha em uso (2015.x, 2017.x ou 2018.x/DC).

Como controle compensatório quando a atualização imediata não é viável: desabilitar a execução de JavaScript dentro do Acrobat/Reader reduz a superfície de ataque para várias classes de vulnerabilidades de PDF, mas não há garantia nas fontes disponíveis de que essa falha específica dependa de JavaScript — trate como mitigação parcial, não como correção. Bloquear o recebimento de anexos PDF de origem não confiável em gateways de e-mail e restringir a abertura automática de PDFs no navegador também reduz a exposição, mas não elimina o risco se o usuário abrir o arquivo manualmente.

O que não funciona: manter o software 'atualizado até uma versão anterior à corrigida' sob a suposição de que versões mais antigas são menos visadas — o próprio registro KEV mostra exploração ativa contra essa CVE anos após sua publicação, evidenciando que atacantes continuam varrendo por instalações desatualizadas. Não há mitigação de configuração que substitua o patch quando o vetor é abertura de arquivo pelo próprio usuário.

Não há, nas fontes consultadas, uma assinatura pública de detecção (IOC, regra Snort/YARA ou hash) associada especificamente a esta CVE. Sinais genéricos a observar: falhas (crashes) recorrentes do processo do Acrobat/Reader após abertura de PDFs recebidos por e-mail, anexos PDF com estrutura anômala ou ofuscada vindos de remetentes não usuais, e telemetria de EDR mostrando o processo do leitor de PDF gerando processos filhos inesperados (indicativo de execução de código pós-exploração).

Como a CISA classifica a exploração como confirmada mas não descreve a campanha, times de detecção devem tratar qualquer anomalia de estabilidade em instalações desatualizadas de Acrobat/Reader como potencial indício, priorizando a correlação com a idade da versão instalada em vez de depender de assinatura específica.