PoC de validation EDR CVE-2020-9715

Use-after-free dans le cache ESObject de EScript.api d'Adobe Acrobat Reader DC. Pour tests EDR d'équipe rouge autorisés uniquement.

Vulnérabilité

Adobe Acrobat Reader DC <= 2020.009.20063. Le moteur EScript met en cache des ESObjects de données avec des clés qui préservent l'encodage d'origine (ANSI ou Unicode). La suppression construit toujours des clés Unicode, donc les entrées nommées en ANSI ne sont jamais purgées du cache. Après que le GC libère l'objet sous-jacent, l'entrée de cache obsolète devient un pointeur pendant.

Ce que fait le PoC

1. Intègre un objet de données avec un nom encodé en ANSI dans le PDF
2. Le JavaScript OpenAction accède à dataObjects pour remplir le cache ESObject
3. Supprime la référence et force le garbage collection
4. Effectue un heap spray avec des allocations ArrayBuffer pour récupérer la mémoire libérée
5. Accède à nouveau à l'ESObject obsolète mis en cache, déclenchant le use-after-free

Ce PoC déclenche le motif de vulnérabilité mais n'inclut pas de payload armé (pas de shellcode, pas de chaîne ROP). Il est conçu pour valider si votre EDR détecte la technique d'exploitation.

Utilisation