Adobe Acrobat Reader DC CSP Bypass Leads To Privilege Escalation

O Adobe Acrobat Reader DC possui uma falha que permite que invasores ultrapassem as políticas de segurança projetadas para prevenir requisições não autorizadas entre domínios. Um invasor pode enganar um usuário para abrir um arquivo PDF malicioso, que então envia solicitações indesejadas para outros sites em nome da vítima.

CVE-2022-28244 envolve um bypass de Content Security Policy (CSP) no Acrobat Reader DC através de violação dos princípios de design seguro. O vetor de ataque requer interação do usuário (abertura de um PDF manipulado em servidor do invasor) e permite execução de requisições arbitrárias entre origens. O impacto habilita ações não autorizadas contra domínios de terceiros no contexto de segurança da vítima.