f8al/poc-cve-2020-9715Beweiskonzept für CVE-2020-9715, eine Use-After-Free-Schwachstelle in der EScript-Engine von Adobe Acrobat Reader DC. Erzeugt eine PDF, die das Schwachstellenmuster zur Validierung der EDR-Erkennung auslöst. Kein schädlicher Payload enthalten.
Use-after-free im EScript.api-ESObject-Cache von Adobe Acrobat Reader DC. Nur für autorisierte Red-Team-EDR-Tests.
Adobe Acrobat Reader DC <= 2020.009.20063. Die EScript-Engine cacht Daten-ESObjects mit Schlüsseln, die die ursprüngliche Kodierung (ANSI oder Unicode) beibehalten. Beim Löschen werden immer Unicode-Schlüssel erstellt, sodass ANSI-benannte Einträge nie aus dem Cache entfernt werden. Nachdem der GC das zugrundeliegende Objekt freigegeben hat, wird der veraltete Cache-Eintrag zu einem hängenden Zeiger.
OpenAction greift auf dataObjects zu, um den ESObject-Cache zu füllenArrayBuffer-Allokationen durch, um den freigegebenen Speicher zurückzuerobernDieses PoC löst das Schwachstellenmuster aus, enthält jedoch keine weaponisierte Nutzlast (kein Shellcode, keine ROP-Kette). Es soll validieren, ob Ihr EDR die Ausnutzungstechnik erkennt.
python generate_poc.py # Generates CVE-2020-9715.pdf
python generate_poc.py -o custom.pdf # Custom output path
Keine externen Abhängigkeiten – verwendet nur die Python-Standardbibliothek.
Ihr EDR sollte auf eines oder mehrere der folgenden Merkmale ansprechen:
ArrayBuffer)dataObjects-Zugriff gefolgt von erzwungener GC und erneutem Zugriff (UAF-Muster)OpenAction + EmbeddedFiles + JavaScriptBehoben in APSB20-48 (August 2020).