[!IMPORTANT] Questo report è stato intenzionalmente sanitizzato per la pubblicazione pubblica su GitHub. Identificatori sensibili, credenziali, valori infrastrutturali ed evidenze specifiche dei client sono sostituiti con segnaposto chiari.

🧭 Navigazione rapida

• Sintesi esecutiva
• Analisi tecnica
• Impatto
• Rimedi
• Lezioni apprese e strategia di mitigazione

[!TIP] Per una revisione rapida, inizia con le sezioni Sintesi esecutiva e Impatto. Per un approfondimento tecnico, prosegui con Analisi tecnica e Rimedi.

🏷️ Titolo

CVE-2026-46529 - Atril Evince XReader PDF RCE tramite link cliccabile

🧾 Sintesi esecutiva

Una grave vulnerabilità di sicurezza di tipo esecuzione remota di codice con un clic (Single-Click RCE) nel visualizzatore di documenti Atril (visualizzatore PDF predefinito dell'ambiente MATE Desktop) e nei suoi omologhi Evince (visualizzatore GNOME) e XReader (visualizzatore Xfce). Questa vulnerabilità consente a un attaccante di eseguire codice dannoso sul dispositivo della vittima semplicemente inducendola a fare clic su un link all'interno di un file PDF.

La vulnerabilità funziona incorporando un link dannoso in un documento PDF. Quando si fa clic sul link, l'applicazione interpreta l'URI in modo non sicuro, consentendo l'esecuzione di comandi arbitrari con i privilegi dell'utente corrente.

🔬 Analisi tecnica

La debolezza è stata valutata da una prospettiva di sicurezza delle applicazioni e di rischio infrastrutturale. Il problema centrale è classificato come Esecuzione remota di codice ed è stato documentato in una forma sanitizzata adatta alla pubblicazione pubblica nel portfolio.

La vulnerabilità sfrutta la gestione degli URI (URI Handling) nel visualizzatore di documenti Atril. Quando si fa clic su un link all'interno di un documento PDF, Atril passa l'URI al sistema per aprirlo. Poiché non esiste una sufficiente sanificazione dei link, un attaccante può creare un link utilizzando protocolli pericolosi come file:// o ghelp:// o persino eseguire comandi direttamente.

📊 Impatto

• Esecuzione non autorizzata di comandi nel contesto dell'applicazione interessata.
• Possibile compromissione del servizio, esposizione dei dati e movimento laterale a seconda dei privilegi di distribuzione.

🛠️ Rimedi

🧠 Lezioni apprese e strategia di mitigazione

• Trattare ogni confine di integrazione come non fidato, soprattutto quando la logica dell'applicazione inoltra valori controllati dall'utente a filesystem, shell, parser o strumenti esterni.
• Le revisioni di sicurezza dovrebbero validare l'intera catena di exploit, non solo il primo endpoint vulnerabile; configurazioni errate di bassa gravità possono diventare critiche quando concatenate.
• La documentazione destinata al pubblico dovrebbe descrivere rischio, causa principale e rimedi senza esporre identificatori operativi, credenziali o artefatti di exploit riutilizzabili.
• I controlli difensivi dovrebbero combinare validazione preventiva, privilegio minimo in esecuzione, telemetria e governance delle patch per ridurre sia la sfruttabilità sia il raggio d'impatto.

🧼 Note sulla sanificazione della pubblicazione

• Gli identificatori infrastrutturali sensibili, gli indirizzi IP, gli hostname, le credenziali, gli hash e gli indirizzi e-mail sono stati sostituiti con segnaposto espliciti.
• Le evidenze operative riutilizzabili sono state ridotte al minimo o astratte per mantenere il documento adatto alla pubblicazione pubblica su GitHub.
• Il documento utilizza una struttura in stile consulenziale allineata alle pratiche comuni dei report di test di sicurezza web, come le aspettative di reporting di OWASP WSTG.