[!IMPORTANT] Ce rapport est intentionnellement nettoyé pour une publication publique sur GitHub. Les identifiants sensibles, mots de passe, valeurs d'infrastructure et preuves spécifiques au client sont remplacés par des espaces réservés clairs.

🧭 Navigation rapide

• Résumé exécutif
• Analyse technique
• Impact
• Correction
• Leçons apprises et stratégie d'atténuation

[!TIP] Pour une revue rapide, commencez par le Résumé exécutif et la section Impact. Pour une profondeur technique, poursuivez avec l'Analyse technique et la Correction.

🏷️ Titre

CVE-2026-46529 - Atril Evince XReader PDF Clickable Link RCE

🧾 Résumé exécutif

Vulnérabilité de sécurité critique de type exécution de code à distance en un clic (Single-Click RCE) dans le visualiseur de documents Atril (visionneuse PDF par défaut de l'environnement MATE Desktop) et ses homologues Evince (visionneuse GNOME) et XReader (visionneuse Xfce). Cette vulnérabilité permet à un attaquant d'exécuter du code malveillant sur la machine de la victime simplement en l'incitant à cliquer sur un lien dans un fichier PDF.

La faille fonctionne en intégrant un lien malveillant dans un document PDF. Lorsque le lien est cliqué, l'application interprète l'URI de manière non sécurisée, permettant l'exécution de commandes arbitraires avec les privilèges de l'utilisateur actuel.

🔬 Analyse technique

La faiblesse a été évaluée du point de vue de la sécurité des applications et du risque d'infrastructure. Le problème central est classé comme exécution de code à distance et a été documenté sous une forme nettoyée, adaptée à une publication publique dans un portfolio.

La vulnérabilité exploite le traitement des URI (URI Handling) dans le visualiseur de documents Atril. Lorsque vous cliquez sur un lien dans un document PDF, Atril transmet l'URI au système pour l'ouvrir. En raison de l'absence de filtrage suffisant des liens, un attaquant peut créer un lien utilisant des protocoles dangereux comme file:// ou ghelp://, voire exécuter directement des commandes.

📊 Impact

• Exécution de commandes non autorisée dans le contexte de l'application concernée.
• Prise de contrôle potentielle du service, exposition de données et déplacement latéral selon les privilèges de déploiement.

🛠️ Correction

🧠 Leçons apprises et stratégie d'atténuation

• Considérez chaque frontière d'intégration comme non fiable, en particulier lorsque la logique applicative transmet des valeurs contrôlées par l'utilisateur à des systèmes de fichiers, shells, analyseurs ou outils externes.
• Les revues de sécurité doivent valider la chaîne d'exploitation complète, pas seulement le premier point de terminaison vulnérable ; des erreurs de configuration de faible sévérité peuvent devenir critiques lorsqu'elles sont enchaînées.
• La documentation publique doit décrire le risque, la cause racine et la correction sans exposer d'identifiants opérationnels, mots de passe ou artefacts d'exploitation réutilisables.
• Les contrôles défensifs doivent combiner validation préventive, moindre privilège à l'exécution, télémétrie et gouvernance des correctifs pour réduire à la fois l'exploitabilité et le rayon d'impact.

🧼 Notes de nettoyage pour publication

• Les identifiants sensibles d'infrastructure, adresses IP, noms d'hôtes, mots de passe, hachages et adresses e-mail ont été remplacés par des espaces réservés explicites.
• Les preuves opérationnelles réutilisables ont été minimisées ou abstraites afin de rendre le document adapté à une publication publique sur GitHub.
• Le document utilise une structure de style consultant, alignée sur les pratiques courantes des rapports de tests de sécurité web comme les attentes de rapport OWASP WSTG.