Adobe Acrobat Reader DC resetForm Use-After-Free Remote Code Execution Vulnerability

Falha de use-after-free (CWE-416) no Adobe Acrobat Reader que permite execução de código arbitrário no contexto do usuário ao abrir um PDF malicioso. Está no catálogo KEV da CISA com exploração confirmada em campanhas reais, o que eleva sua prioridade muito além do que o CVSS 7.8 sugere isoladamente — é uma das poucas CVEs de Acrobat com exploração ativa documentada por agência governamental, não apenas PoC acadêmico.

A vulnerabilidade é uma use-after-free (CWE-416): um objeto na memória é liberado e, em seguida, uma referência obsoleta a esse objeto ainda é acessada pelo motor de renderização/JavaScript do Acrobat. O nome atribuído à falha ('resetForm Use-After-Free') indica que o gatilho envolve a API JavaScript de formulários AcroForm do PDF — especificamente a função resetForm, usada para limpar valores de campos de um formulário PDF. Um script embutido no documento pode manipular o ciclo de vida de objetos de campo de formulário de forma a liberar memória que continua sendo referenciada por outra parte do código, criando a condição de uso após liberação.

O atacante controla o conteúdo do arquivo PDF, incluindo o JavaScript embutido que orquestra a sequência de criação, modificação e reset de campos de formulário necessária para forçar a corrupção de memória de forma determinística. Isso é o que diferencia um UAF explorável de um mero crash: o atacante precisa conseguir realocar dados controlados no espaço de memória liberado antes que a referência obsoleta seja usada, técnica clássica de heap grooming.

Não há confirmação pública detalhada (nas fontes disponíveis) sobre o módulo exato de código ou a rotina interna afetada além da atribuição ao fluxo de reset de formulários. A Adobe classifica a falha como permitindo execução de código no contexto do usuário atual — ou seja, sem elevação de privilégio adicional, o processo malicioso roda com as permissões de quem abriu o arquivo.

O vetor é um arquivo PDF malicioso entregue por e-mail, download ou link — típico de campanhas de phishing direcionado. A exploração exige interação do usuário (AV:L, UI:R no vetor CVSS): a vítima precisa abrir o arquivo no Acrobat Reader vulnerável. Não há necessidade de autenticação, configuração não padrão ou privilégios elevados; o JavaScript embutido no PDF, que é executado automaticamente pelo Acrobat ao abrir o documento (comportamento padrão, não uma feature opcional que o usuário precise habilitar), é suficiente para acionar a sequência que corrompe a memória.

A presença no catálogo KEV da CISA confirma exploração no mundo real, embora os detalhes de quais grupos ou campanhas específicas a usaram não estejam nas fontes consultadas aqui. A existência de PoC pública reduz a barreira: uma vez que a técnica de heap grooming via resetForm está documentada, adaptar isso para uma cadeia de exploração completa (UAF → controle de fluxo → execução de shellcode) é trabalho de exploit development conhecido, não pesquisa original.

O resultado final, quando bem-sucedido, é execução de código arbitrário no contexto do usuário que abriu o PDF — suficiente para instalar malware, estabelecer persistência ou pivotar lateralmente, dependendo do payload entregue após a exploração da memória corrompida.

A mitigação primária é atualizar o Adobe Acrobat Reader para uma versão corrigida pelo boletim APSB23-01 da Adobe — as versões exatas de correção não estão detalhadas nas fontes consultadas nesta pesquisa; consulte o advisory oficial da Adobe para o número de build específico da sua linha (Continuous, Classic 2020 ou 2017) antes de considerar o ambiente protegido.

Se a atualização imediata não for viável, a CISA recomenda como ação alternativa 'discontinuar o uso do produto' quando mitigações não estiverem disponíveis — o que, na prática, para este CVE, significa que não há um controle compensatório oficial robusto além de bloquear a execução de JavaScript no Acrobat (via preferências de segurança do próprio Reader) ou impedir a abertura de PDFs de origem não confiável em nível de gateway de e-mail/proxy. Desabilitar JavaScript no Acrobat reduz a superfície de ataque para esta classe de falha, mas quebra funcionalidade legítima de formulários interativos em muitos ambientes corporativos — é um custo real, não uma correção completa.

Não existe mitigação eficaz baseada apenas em treinamento de usuário ("não abra anexos suspeitos"): a natureza de phishing direcionado que costuma acompanhar exploração de UAF em leitores de PDF torna esse controle insuficiente como camada única.

Não há assinatura de rede ou padrão de log confiável documentado nas fontes consultadas para identificar tentativas de exploração deste CVE especificamente — a exploração ocorre inteiramente no processo local do Acrobat Reader ao processar o PDF, sem tráfego de rede distintivo até a fase pós-exploração (payload de segundo estágio). Ambientes com EDR devem monitorar processos filhos anômalos gerados por AcroRd32.exe/Acrobat.exe (spawning de shells, downloads, injeção de código) como indicador indireto de exploração bem-sucedida, já que a própria corrupção de memória não deixa rastro forense trivial sem instrumentação prévia (ex.: page heap, sandboxing).