CVE-2026-46529

Resumen

Atril Document Viewer es el lector de documentos predeterminado del entorno de escritorio MATE para Linux. Una vulnerabilidad de ejecución remota de código con un solo clic en versiones anteriores a 1.26.3 y 1.28.4 permite a un atacante lograr la ejecución arbitraria de código como el usuario engañándolo para que haga clic en un enlace dentro de un documento PDF malicioso. El PDF puede empaquetarse como un archivo políglota que es simultáneamente un PDF válido y una biblioteca compartida ELF válida, lo que convierte el ataque en un RCE de un solo archivo, un solo clic e independiente de la configuración en instalaciones estándar de atril. La causa raíz es `shell/ev-application.c:ev_spawn`, que construye una línea de comandos a partir de campos de destino de enlaces PDF controlados por el atacante sin aplicar `g_shell_quote`. La línea de comandos se pasa luego a `g_app_info_create_from_commandline`, que la analiza de nuevo en argv mediante el shell, dividiendo cualquier `--gtk-module=PATH` incrustado en un elemento argv separado. GTK entonces ejecuta `dlopen()` sobre la ruta durante la inicialización, ejecutando cualquier `__attribute__((constructor))` que encuentre. Las versiones 1.26.3 y 1.28.4 contienen un parche para el problema. Esta es la misma clase de defecto que CVE-2023-51698 (inyección de `--checkpoint-action` en CBT en `comics-document.c`, corregida en 1.6.2), pero en una ruta de código diferente (`shell/ev-application.c`) que el parche original no tocó.

• document-viewer-link-handler-security-assessmentInformativo

  Informe profesional de evaluación de vulnerabilidades para el riesgo del manipulador de enlaces del visor de documentos, que incluye análisis de impacto, remediación y estrategia de mitigación.